Splunk：如何在 SimpleXML 的调色板表达式中使用变量？

Question

是否可以在 Splunk 中仅使用 SimpleXML 在调色板表达式中使用变量？我有以下字段：

我的字段：

mySearch | eval myField = 100

在 Splunk 中，我有一个 table。 table returns 行只有数字（例如 16,123,644 等）。根据值更改这些行的颜色如下所示：

调色板：

<format type="color" field="sourceField">
    <colorPalette type="expression">if (value > 100 ,"#df5065","#00FF00")</colorPalette>
</format>

如果 sourceField 大于 100，则具有该值的行显示为红色。任何其他值都会将该行着色为绿色。我想调整上面的代码以包含变量 myField 以便我可以根据变量更改颜色。我尝试了以下方法：

<format type="color" field="sourceField">
    <colorPalette type="expression">if (value > myField ,"#df5065","#00FF00")</colorPalette>
</format>

<format type="color" field="sourceField">
    <colorPalette type="expression">if (value > $myField$ ,"#df5065","#00FF00")</colorPalette>
</format>

<format type="color" field="sourceField">
    <colorPalette type="expression">if (value > 'myField' ,"#df5065","#00FF00")</colorPalette>
</format>

<format type="color" field="sourceField">
    <colorPalette type="expression">if (value > (myField) ,"#df5065","#00FF00")</colorPalette>
</format>

但是none上面的工作。

是否可以在上述调色板表达式中包含变量？如果可以，我该怎么做？提前致谢。

Answer 1

要在 XML 中使用搜索查询的结果，请尝试 $results.myField$ 。

Answer 2

我做了什么让它工作：

<format type="color" field="sourceField">
      <colorPalette type="expression">if (value > $mytoken$ ) ,"#df5065",default)</colorPalette>
</format>

并且：

<done>
    <set token="mytoken">$result.myField$</set>
</done>

我也试过了（对我没用）：

<format type="color" field="sourceField">
      <colorPalette type="expression">if (value > $result.average$ ) ,"#df5065",default)</colorPalette>
</format>

Splunk：如何在 SimpleXML 的调色板表达式中使用变量？

Splunk: How to use a variable in colorpalette expression in SimpleXML?

xml

splunk

color-palette

我的字段：

调色板：