operator parse

Artikel
09/03/2024

Berlaku untuk: ✅Microsoft Fabric ✅Azure Data Explorer✅Azure Monitor ✅Microsoft Sentinel

Mengevaluasi ekspresi string dan mengurai nilainya menjadi satu atau beberapa kolom yang terhitung. Kolom terhitung mengembalikan null nilai untuk string yang tidak berhasil diurai. Jika tidak perlu menggunakan baris di mana penguraian tidak berhasil, lebih suka menggunakan operator parse-where.

Sintaks

T | parse [ kind=kind [ flags=regexFlags ]] expression with [ * ] stringConstant columnName [: columnType] [ * ] , ...

Pelajari selengkapnya tentang konvensi sintaksis.

Parameter

Nama	Tipe	Wajib	Deskripsi
T	`string`	✔️	Input tabular untuk diurai.
jenis	`string`	✔️	Salah satu nilai jenis yang didukung. Nilai defaultnya adalah `simple`.
regexFlags	`string`		Jika jenis adalah `regex`, maka Anda dapat menentukan bendera regex yang akan digunakan seperti `U` untuk tidak menarik, `m` untuk mode multibaris, `s` untuk mencocokkan baris `\n`baru, dan `i` untuk tidak peka huruf besar/kecil. Bendera lainnya dapat ditemukan di Bendera.
expression	`string`	✔️	Ekspresi yang mengevaluasi ke string.
stringConstant	`string`	✔️	Konstanta string yang akan dicari dan diurai.
columnName	`string`	✔️	Nama kolom yang akan ditetapkan nilainya, diekstrak dari ekspresi string.
columnType	`string`		Nilai skalar yang menunjukkan jenis nilai yang akan dikonversi. Default adalah `string`.

Catatan

Pola penguraian dapat dimulai dengan ColumnName selain StringConstant.
Gunakan * dalam pola untuk melewati nilai sampah. * tidak dapat digunakan setelah kolom jenis string.
Jika ekspresi yang diurai bukan tipe string, ekspresi tersebut akan dikonversi ke jenis string.
Gunakan project jika Anda juga ingin menjatuhkan atau mengganti nama beberapa kolom.

Nilai jenis yang didukung

Teks	Deskripsi
`simple`	Ini adalah nilai default. stringConstant adalah nilai string reguler dan kecocokannya ketat. Semua pemisah string akan muncul dalam string yang diurai, dan semua kolom yang diperluas harus cocok dengan jenis yang diperlukan.
`regex`	stringConstant dapat menjadi ekspresi reguler dan kecocokannya ketat. Semua pemisah string, yang dapat menjadi ekspresi reguler untuk mode ini, akan muncul dalam string yang diuraikan, dan semua kolom yang diperluas harus cocok dengan jenis yang diperlukan.
`relaxed`	stringConstant adalah nilai string reguler dan kecocokan dilonggarkan. Semua pemisah string akan muncul dalam string yang diurai, tetapi kolom yang diperluas mungkin sebagian cocok dengan jenis yang diperlukan. Kolom yang diperluas yang tidak cocok dengan jenis yang diperlukan mendapatkan nilai `null`.

Mode regex

Dalam mode regex, penguraian menerjemahkan pola ke regex. Gunakan ekspresi reguler untuk melakukan pencocokan dan menggunakan grup yang diambil bernomor yang ditangani secara internal. Contohnya:

parse kind=regex Col with * <regex1> var1:string <regex2> var2:long

Dalam pernyataan penguraian, regex yang dihasilkan secara internal oleh penguraian adalah .*?<regex1>(.*?)<regex2>(\-\d+).

* diterjemahkan menjadi .*?.
string diterjemahkan menjadi .*?.
long diterjemahkan menjadi \-\d+.

Mengembalikan

Tabel input diperpanjang sesuai dengan daftar kolom yang disediakan untuk operator.

Contoh

Operator parse menyediakan cara yang efisien ke extend tabel menggunakan beberapa extract aplikasi pada ekspresi string yang sama. Ini berguna, saat tabel memiliki kolom string yang berisi beberapa nilai yang ingin Anda pecahkan menjadi kolom individual. Misalnya, kolom yang dihasilkan oleh pernyataan jejak pengembang ("printf"/"Console.WriteLine").

Mengurai dan memperluas hasil

Dalam contoh berikut, kolom EventText tabel Traces berisi string formulir Event: NotifySliceRelease (resourceName={0}, totalSlices={1}, sliceNumber={2}, lockTime={3}, releaseTime={4}, previousLockTime={5}). Operasi memperluas tabel dengan enam kolom: resourceName, , totalSlices, sliceNumberlockTime, releaseTime, dan previousLockTime.

Menjalankan kueri

let Traces = datatable(EventText: string)
    [
    "Event: NotifySliceRelease (resourceName=PipelineScheduler, totalSlices=27, sliceNumber=23, lockTime=02/17/2016 08:40:01, releaseTime=02/17/2016 08:40:01, previousLockTime=02/17/2016 08:39:01)",
    "Event: NotifySliceRelease (resourceName=PipelineScheduler, totalSlices=27, sliceNumber=15, lockTime=02/17/2016 08:40:00, releaseTime=02/17/2016 08:40:00, previousLockTime=02/17/2016 08:39:00)",
    "Event: NotifySliceRelease (resourceName=PipelineScheduler, totalSlices=27, sliceNumber=20, lockTime=02/17/2016 08:40:01, releaseTime=02/17/2016 08:40:01, previousLockTime=02/17/2016 08:39:01)",
    "Event: NotifySliceRelease (resourceName=PipelineScheduler, totalSlices=27, sliceNumber=22, lockTime=02/17/2016 08:41:01, releaseTime=02/17/2016 08:41:00, previousLockTime=02/17/2016 08:40:01)",
    "Event: NotifySliceRelease (resourceName=PipelineScheduler, totalSlices=27, sliceNumber=16, lockTime=02/17/2016 08:41:00, releaseTime=02/17/2016 08:41:00, previousLockTime=02/17/2016 08:40:00)"
];
Traces  
| parse EventText with * "resourceName=" resourceName ", totalSlices=" totalSlices: long * "sliceNumber=" sliceNumber: long * "lockTime=" lockTime ", releaseTime=" releaseTime: date "," * "previousLockTime=" previousLockTime: date ")" *  
| project resourceName, totalSlices, sliceNumber, lockTime, releaseTime, previousLockTime

Hasil

resourceName	totalSlices	sliceNumber	lockTime	releaseTime	previousLockTime
PipelineScheduler	27	15	02/17/2016 08:40:00	2016-02-17 08:40:00.0000000	2016-02-17 08:39:00.0000000
PipelineScheduler	27	23	02/17/2016 08:40:01	2016-02-17 08:40:01.0000000	2016-02-17 08:39:01.0000000
PipelineScheduler	27	20	02/17/2016 08:40:01	2016-02-17 08:40:01.0000000	2016-02-17 08:39:01.0000000
PipelineScheduler	27	16	02/17/2016 08:41:00	2016-02-17 08:41:00.0000000	2016-02-17 08:40:00.0000000
PipelineScheduler	27	22	02/17/2016 08:41:01	2016-02-17 08:41:00.0000000	2016-02-17 08:40:01.0000000

Mengekstrak alias email dan DNS

Dalam contoh berikut, entri dari tabel Kontak diurai untuk mengekstrak alias dan domain dari alamat email, dan domain dari URL situs web. Kueri mengembalikan EmailAddresskolom , EmailAlias, dan WebsiteDomain , di mana fullEmail kolom menggabungkan alias dan domain email yang diurai.

Menjalankan kueri

let Leads=datatable(Contacts: string)
    [
    "Event: LeadContact (email=john@contosohotel.com, Website=https:contosohotel.com)",
	"Event: LeadContact (email=abi@fourthcoffee.com, Website=https:www.fourthcoffee.com)",
	"Event: LeadContact (email=nevena@treyresearch.com, Website=https:treyresearch.com)",
	"Event: LeadContact (email=faruk@tailspintoys.com, Website=https:tailspintoys.com)",
	"Event: LeadContact (email=ebere@relecloud.com, Website=https:relecloud.com)",
];
Leads
| parse Contacts with * "email=" alias:string "@" domain: string ", Website=https:" WebsiteDomain: string ")"
| project EmailAddress=strcat(alias, "@", domain), EmailAlias=alias, WebsiteDomain

Hasil

EmailAddress	EmailAlias	WebsiteDomain
nevena@treyresearch.com	nevena	treyresearch.com
john@contosohotel.com	John	contosohotel.com
faruk@tailspintoys.com	faruk	tailspintoys.com
ebere@relecloud.com	ebere	relecloud.com
abi@fourthcoffee.com	Abi	www.fourthcoffee.com

Mode regex

Dalam contoh berikut, ekspresi reguler digunakan untuk mengurai dan mengekstrak data dari EventText kolom. Data yang diekstrak diproyeksikan ke bidang baru.

Menjalankan kueri

let Traces=datatable(EventText: string)
    [
    "Event: NotifySliceRelease (resourceName=PipelineScheduler, totalSlices=27, sliceNumber=23, lockTime=02/17/2016 08:40:01, releaseTime=02/17/2016 08:40:01, previousLockTime=02/17/2016 08:39:01)",
    "Event: NotifySliceRelease (resourceName=PipelineScheduler, totalSlices=27, sliceNumber=15, lockTime=02/17/2016 08:40:00, releaseTime=02/17/2016 08:40:00, previousLockTime=02/17/2016 08:39:00)",
    "Event: NotifySliceRelease (resourceName=PipelineScheduler, totalSlices=27, sliceNumber=20, lockTime=02/17/2016 08:40:01, releaseTime=02/17/2016 08:40:01, previousLockTime=02/17/2016 08:39:01)",
    "Event: NotifySliceRelease (resourceName=PipelineScheduler, totalSlices=27, sliceNumber=22, lockTime=02/17/2016 08:41:01, releaseTime=02/17/2016 08:41:00, previousLockTime=02/17/2016 08:40:01)",
    "Event: NotifySliceRelease (resourceName=PipelineScheduler, totalSlices=27, sliceNumber=16, lockTime=02/17/2016 08:41:00, releaseTime=02/17/2016 08:41:00, previousLockTime=02/17/2016 08:40:00)"
];
Traces  
| parse kind=regex EventText with "(.*?)[a-zA-Z]*=" resourceName @", totalSlices=\s*\d+\s*.*?sliceNumber=" sliceNumber: long  ".*?(previous)?lockTime=" lockTime ".*?releaseTime=" releaseTime ".*?previousLockTime=" previousLockTime: date "\\)"  
| project resourceName, sliceNumber, lockTime, releaseTime, previousLockTime

Hasil

resourceName	sliceNumber	lockTime	releaseTime	previousLockTime
PipelineScheduler	15	02/17/2016 08:40:00,	02/17/2016 08:40:00,	2016-02-17 08:39:00.0000000
PipelineScheduler	23	02/17/2016 08:40:01,	02/17/2016 08:40:01,	2016-02-17 08:39:01.0000000
PipelineScheduler	20	02/17/2016 08:40:01,	02/17/2016 08:40:01,	2016-02-17 08:39:01.0000000
PipelineScheduler	16	02/17/2016 08:41:00,	02/17/2016 08:41:00,	2016-02-17 08:40:00.0000000
PipelineScheduler	22	02/17/2016 08:41:01,	02/17/2016 08:41:00,	2016-02-17 08:40:01.0000000

Mode regex dengan bendera regex

Dalam contoh resourceName berikut diekstrak.

Menjalankan kueri

let Traces=datatable(EventText: string)
    [
    "Event: NotifySliceRelease (resourceName=PipelineScheduler, totalSlices=27, sliceNumber=23, lockTime=02/17/2016 08:40:01, releaseTime=02/17/2016 08:40:01, previousLockTime=02/17/2016 08:39:01)",
    "Event: NotifySliceRelease (resourceName=PipelineScheduler, totalSlices=27, sliceNumber=15, lockTime=02/17/2016 08:40:00, releaseTime=02/17/2016 08:40:00, previousLockTime=02/17/2016 08:39:00)",
    "Event: NotifySliceRelease (resourceName=PipelineScheduler, totalSlices=27, sliceNumber=20, lockTime=02/17/2016 08:40:01, releaseTime=02/17/2016 08:40:01, previousLockTime=02/17/2016 08:39:01)",
    "Event: NotifySliceRelease (resourceName=PipelineScheduler, totalSlices=27, sliceNumber=22, lockTime=02/17/2016 08:41:01, releaseTime=02/17/2016 08:41:00, previousLockTime=02/17/2016 08:40:01)",
    "Event: NotifySliceRelease (resourceName=PipelineScheduler, totalSlices=27, sliceNumber=16, lockTime=02/17/2016 08:41:00, releaseTime=02/17/2016 08:41:00, previousLockTime=02/17/2016 08:40:00)"
];
Traces
| parse kind=regex EventText with * "resourceName=" resourceName ',' *
| project resourceName

Hasil

resourceName
PipelineScheduler, totalSlices=27, sliceNumber=23, lockTime=02/17/2016 08:40:01, releaseTime=02/17/2016 08:40:01
PipelineScheduler, totalSlices=27, sliceNumber=15, lockTime=02/17/2016 08:40:00, releaseTime=02/17/2016 08:40:00
PipelineScheduler, totalSlices=27, sliceNumber=20, lockTime=02/17/2016 08:40:01, releaseTime=02/17/2016 08:40:01
PipelineScheduler, totalSlices=27, sliceNumber=22, lockTime=02/17/2016 08:41:01, releaseTime=02/17/2016 08:41:00
PipelineScheduler, totalSlices=27, sliceNumber=16, lockTime=02/17/2016 08:41:00, releaseTime=02/17/2016 08:41:00

Jika ada rekaman di mana resourceName terkadang muncul sebagai huruf kecil dan terkadang sebagai huruf besar, Anda mungkin mendapatkan null untuk beberapa nilai.

Hasil dalam contoh sebelumnya tidak terduga, dan menyertakan data peristiwa penuh karena mode defaultnya serakah. Untuk mengekstrak hanya resourceName, jalankan kueri sebelumnya dengan bendera regex yang tidak serakah U, dan nonaktifkan peka huruf besar/kecil i .

Menjalankan kueri

let Traces=datatable(EventText: string)
    [
    "Event: NotifySliceRelease (resourceName=PipelineScheduler, totalSlices=27, sliceNumber=23, lockTime=02/17/2016 08:40:01, releaseTime=02/17/2016 08:40:01, previousLockTime=02/17/2016 08:39:01)",
    "Event: NotifySliceRelease (resourceName=PipelineScheduler, totalSlices=27, sliceNumber=15, lockTime=02/17/2016 08:40:00, releaseTime=02/17/2016 08:40:00, previousLockTime=02/17/2016 08:39:00)",
    "Event: NotifySliceRelease (resourceName=PipelineScheduler, totalSlices=27, sliceNumber=20, lockTime=02/17/2016 08:40:01, releaseTime=02/17/2016 08:40:01, previousLockTime=02/17/2016 08:39:01)",
    "Event: NotifySliceRelease (resourceName=PipelineScheduler, totalSlices=27, sliceNumber=22, lockTime=02/17/2016 08:41:01, releaseTime=02/17/2016 08:41:00, previousLockTime=02/17/2016 08:40:01)",
    "Event: NotifySliceRelease (resourceName=PipelineScheduler, totalSlices=27, sliceNumber=16, lockTime=02/17/2016 08:41:00, releaseTime=02/17/2016 08:41:00, previousLockTime=02/17/2016 08:40:00)"
];
Traces
| parse kind=regex flags=Ui EventText with * "RESOURCENAME=" resourceName ',' *
| project resourceName

Hasil

resourceName
PipelineScheduler
PipelineScheduler
PipelineScheduler
PipelineScheduler
PipelineScheduler

Jika string yang diurai memiliki garis baru, gunakan bendera s, untuk mengurai teks.

Menjalankan kueri

let Traces=datatable(EventText: string)
    [
    "Event: NotifySliceRelease (resourceName=PipelineScheduler\ntotalSlices=27\nsliceNumber=23\nlockTime=02/17/2016 08:40:01\nreleaseTime=02/17/2016 08:40:01\npreviousLockTime=02/17/2016 08:39:01)",
    "Event: NotifySliceRelease (resourceName=PipelineScheduler\ntotalSlices=27\nsliceNumber=15\nlockTime=02/17/2016 08:40:00\nreleaseTime=02/17/2016 08:40:00\npreviousLockTime=02/17/2016 08:39:00)",
    "Event: NotifySliceRelease (resourceName=PipelineScheduler\ntotalSlices=27\nsliceNumber=20\nlockTime=02/17/2016 08:40:01\nreleaseTime=02/17/2016 08:40:01\npreviousLockTime=02/17/2016 08:39:01)",
    "Event: NotifySliceRelease (resourceName=PipelineScheduler\ntotalSlices=27\nsliceNumber=22\nlockTime=02/17/2016 08:41:01\nreleaseTime=02/17/2016 08:41:00\npreviousLockTime=02/17/2016 08:40:01)",
    "Event: NotifySliceRelease (resourceName=PipelineScheduler\ntotalSlices=27\nsliceNumber=16\nlockTime=02/17/2016 08:41:00\nreleaseTime=02/17/2016 08:41:00\npreviousLockTime=02/17/2016 08:40:00)"
];
Traces
| parse kind=regex flags=s EventText with * "resourceName=" resourceName: string "(.*?)totalSlices=" totalSlices: long "(.*?)lockTime=" lockTime: datetime "(.*?)releaseTime=" releaseTime: datetime "(.*?)previousLockTime=" previousLockTime: datetime "\\)" 
| project-away EventText

Hasil

resourceName	totalSlices	lockTime	releaseTime	previousLockTime
PipelineScheduler	27	2016-02-17 08:40:00.0000000	2016-02-17 08:40:00.0000000	2016-02-17 08:39:00.0000000
PipelineScheduler	27	2016-02-17 08:40:01.0000000	2016-02-17 08:40:01.0000000	2016-02-17 08:39:01.0000000
PipelineScheduler	27	2016-02-17 08:40:01.0000000	2016-02-17 08:40:01.0000000	2016-02-17 08:39:01.0000000
PipelineScheduler	27	2016-02-17 08:41:00.0000000	2016-02-17 08:41:00.0000000	2016-02-17 08:40:00.0000000
PipelineScheduler	27	2016-02-17 08:41:01.0000000	2016-02-17 08:41:00.0000000	2016-02-17 08:40:01.0000000

Mode rileks

Dalam contoh mode santai berikut, kolom totalSlices yang diperluas harus berjenis long. Namun, dalam string yang diurai, string tersebut memiliki nilai nonValidLongValue. Untuk kolom yang diperluas, releaseTime, nilai nonValidDateTime tidak dapat diurai sebagai datetime. Kedua kolom yang diperluas ini menghasilkan null nilai sementara kolom lainnya, seperti sliceNumber, masih menghasilkan nilai yang benar.

Jika Anda menggunakan opsi kind = simple untuk kueri berikut, Anda mendapatkan null hasil untuk semua kolom yang diperluas. Opsi ini ketat pada kolom yang diperpanjang, dan merupakan perbedaan antara mode santai dan sederhana.

Catatan

Dalam mode rileks, kolom yang diperluas dapat dicocokkan sebagian.

Menjalankan kueri

let Traces=datatable(EventText: string)
    [
    "Event: NotifySliceRelease (resourceName=PipelineScheduler, totalSlices=27, sliceNumber=23, lockTime=02/17/2016 08:40:01, releaseTime=nonValidDateTime 08:40:01, previousLockTime=02/17/2016 08:39:01)",
    "Event: NotifySliceRelease (resourceName=PipelineScheduler, totalSlices=27, sliceNumber=15, lockTime=02/17/2016 08:40:00, releaseTime=nonValidDateTime, previousLockTime=02/17/2016 08:39:00)",
    "Event: NotifySliceRelease (resourceName=PipelineScheduler, totalSlices=nonValidLongValue, sliceNumber=20, lockTime=02/17/2016 08:40:01, releaseTime=nonValidDateTime 08:40:01, previousLockTime=02/17/2016 08:39:01)",
    "Event: NotifySliceRelease (resourceName=PipelineScheduler, totalSlices=27, sliceNumber=22, lockTime=02/17/2016 08:41:01, releaseTime=02/17/2016 08:41:00, previousLockTime=02/17/2016 08:40:01)",
    "Event: NotifySliceRelease (resourceName=PipelineScheduler, totalSlices=nonValidLongValue, sliceNumber=16, lockTime=02/17/2016 08:41:00, releaseTime=02/17/2016 08:41:00, previousLockTime=02/17/2016 08:40:00)"
];
Traces
| parse kind=relaxed EventText with * "resourceName=" resourceName ", totalSlices=" totalSlices: long ", sliceNumber=" sliceNumber: long * "lockTime=" lockTime ", releaseTime=" releaseTime: date "," * "previousLockTime=" previousLockTime: date ")" *
| project-away EventText

Hasil

resourceName	totalSlices	sliceNumber	lockTime	releaseTime	previousLockTime
PipelineScheduler	27	15	02/17/2016 08:40:00		2016-02-17 08:39:00.0000000
PipelineScheduler	27	23	02/17/2016 08:40:01		2016-02-17 08:39:01.0000000
PipelineScheduler		20	02/17/2016 08:40:01		2016-02-17 08:39:01.0000000
PipelineScheduler		16	02/17/2016 08:41:00	2016-02-17 08:41:00.0000000	2016-02-17 08:40:00.0000000
PipelineScheduler	27	22	02/17/2016 08:41:01	2016-02-17 08:41:00.0000000	2016-02-17 08:40:01.0000000

Bagikan melalui

operator parse

Sintaks

Parameter

Nilai jenis yang didukung

Mode regex

Mengembalikan

Contoh

Mengurai dan memperluas hasil

Mengekstrak alias email dan DNS

Mode regex

Mode regex dengan bendera regex

Mode rileks

Saran dan Komentar

Sumber Daya Tambahan:

Bagikan melalui

operator parse

Sintaks

Parameter

Nilai jenis yang didukung

Mode regex

Mengembalikan

Contoh

Mengurai dan memperluas hasil

Mengekstrak alias email dan DNS

Mode regex

Mode regex dengan bendera regex

Mode rileks

Konten terkait

Saran dan Komentar

Sumber Daya Tambahan: