Splunk：从仪表板的源代码中转义“<”“>”

Question

我正在尝试将搜索查询下方作为仪表板源中的基本搜索code.Getting“意外关闭标签”错误，因为“>”和“<”包含从中提取的新字段名称“Env”霸王龙

<search id="base_search">
<query>index=_internal earliest=-1d latest=now | rex field=host "(?P<Env>[[:alpha:]]{2})\-[[:alpha:]]+" </query>
</search>

不使用反斜杠fixing.Can有人帮我解决这个问题。

Answer 1

您需要将查询包装在 CDATA 标记中，如 https://docs.splunk.com/Documentation/Splunk/8.0.4/Viz/OverviewofSimplifiedXML

中所述

<search id="base_search">
<query>
<![CDATA[
index=_internal earliest=-1d latest=now | rex field=host "(?P<Env>[[:alpha:]]{2})\-[[:alpha:]]+" 
]]>
</query>
</search>

Answer 2

使用 XML 个实体：< & >

如果您在 UI 视图中构建搜索，然后转到编辑源代码，您将看到 Splunk 在幕后如何转换它

Splunk：从仪表板的源代码中转义“<”“>”

Splunk: Escaping "<" ">" from the dashboard's source code

regex

splunk

splunk-query