operator parse

Artykuł
09/03/2024

Dotyczy: ✅Microsoft Fabric ✅Azure Data Explorer✅Azure Monitor ✅Microsoft Sentinel

Oblicza wyrażenie ciągu i analizuje jego wartość w co najmniej jednej kolumnie obliczeniowej. Kolumny obliczeniowe zwracają null wartości dla nieudanych analizowanych ciągów. Jeśli nie ma potrzeby używania wierszy, w których analizowanie nie powiedzie się, wolisz użyć operatora parse-where.

Składnia

T | parse [ kind=kind [ flags=regexFlags ]] wyrażenie with [ * ] stringConstant columnName [: columnType] [ * ] , ...

Dowiedz się więcej na temat konwencji składni.

Parametry

Nazwisko	Type	Wymagania	opis
T	`string`	✔️	Dane wejściowe tabelaryczne do przeanalizowania.
rodzaj	`string`	✔️	Jedna z obsługiwanych wartości rodzajowych. Domyślna wartość to `simple`.
regexFlags	`string`		Jeśli rodzaj to `regex`, możesz określić flagi wyrażeń regularnych, które mają być używane w `U` przypadku niegreedycyjnego trybu `m` wielowierszowego, `s` w celu dopasowania do nowego wiersza `\n`i `i` w przypadku bez uwzględniania wielkości liter. Więcej flag można znaleźć w obszarze Flagi.
wyrażenie	`string`	✔️	Wyrażenie, które daje w wyniku ciąg.
stringConstant	`string`	✔️	Stała ciągu, dla której należy wyszukiwać i analizować.
nazwa_kolumny	`string`	✔️	Nazwa kolumny do przypisania wartości wyodrębnionej z wyrażenia ciągu.
columnType	`string`		Wartość skalarna wskazująca typ, na który ma być konwertowana wartość. Wartość domyślna to `string`.

Uwaga

Wzorzec analizy może rozpoczynać się od kolumny ColumnName oprócz ciąguConstant.
Użyj * we wzorcu, aby pominąć wartości wiadomości-śmieci. * Nie można jej używać po kolumnie string typu.
Jeśli przeanalizowane wyrażenie nie jest typu string, zostanie przekonwertowane na typ string.
Użyj project polecenia , jeśli chcesz również usunąć lub zmienić nazwę niektórych kolumn.

Obsługiwane wartości typów

Text	opis
`simple`	Jest to wartość domyślna. stringConstant jest regularną wartością ciągu, a dopasowanie jest ścisłe. Wszystkie ograniczniki ciągów powinny być wyświetlane w przeanalizowanym ciągu, a wszystkie rozszerzone kolumny muszą być zgodne z wymaganymi typami.
`regex`	stringConstant może być wyrażeniem regularnym, a dopasowanie jest ścisłe. Wszystkie ograniczniki ciągów, które mogą być wyrażeniem regularnym dla tego trybu, powinny być wyświetlane w przeanalizowanym ciągu, a wszystkie kolumny rozszerzone muszą być zgodne z wymaganymi typami.
`relaxed`	stringConstant jest regularną wartością ciągu, a dopasowanie jest złagodzone. Wszystkie ograniczniki ciągów powinny być wyświetlane w przeanalizowanym ciągu, ale rozszerzone kolumny mogą częściowo odpowiadać wymaganym typom. Rozszerzone kolumny, które nie są zgodne z wymaganymi typami, uzyskują wartość `null`.

Tryb wyrażeń regularnych

W trybie wyrażeń regularnych analizowanie tłumaczy wzorzec na wyrażenie regularne. Użyj wyrażeń regularnych , aby wykonać dopasowanie i użyć grup przechwyconych numerowanych, które są obsługiwane wewnętrznie. Na przykład:

parse kind=regex Col with * <regex1> var1:string <regex2> var2:long

W instrukcji parse wyrażenie regularne wewnętrznie generowane przez parse to .*?<regex1>(.*?)<regex2>(\-\d+).

* został przetłumaczony na .*?.
string został przetłumaczony na .*?.
long został przetłumaczony na \-\d+.

Zwraca

Tabela wejściowa została rozszerzona zgodnie z listą kolumn dostarczonych do operatora.

Przykłady

Operator parse zapewnia usprawniony sposób na extend tabelę przy użyciu wielu extract aplikacji w tym samym string wyrażeniu. Ten wynik jest przydatny, gdy tabela zawiera kolumnę zawierającą string kilka wartości, które chcesz podzielić na poszczególne kolumny. Na przykład kolumna utworzona przez instrukcję trace dla deweloperów ("printf"/"Console.WriteLine").

Analizowanie i rozszerzanie wyników

W poniższym przykładzie kolumna EventText tabeli Traces zawiera ciągi formularza Event: NotifySliceRelease (resourceName={0}, totalSlices={1}, sliceNumber={2}, lockTime={3}, releaseTime={4}, previousLockTime={5}). Operacja rozszerza tabelę o sześć kolumn: resourceName, , totalSlices, sliceNumberlockTime, releaseTime, i previousLockTime.

Uruchamianie zapytania

let Traces = datatable(EventText: string)
    [
    "Event: NotifySliceRelease (resourceName=PipelineScheduler, totalSlices=27, sliceNumber=23, lockTime=02/17/2016 08:40:01, releaseTime=02/17/2016 08:40:01, previousLockTime=02/17/2016 08:39:01)",
    "Event: NotifySliceRelease (resourceName=PipelineScheduler, totalSlices=27, sliceNumber=15, lockTime=02/17/2016 08:40:00, releaseTime=02/17/2016 08:40:00, previousLockTime=02/17/2016 08:39:00)",
    "Event: NotifySliceRelease (resourceName=PipelineScheduler, totalSlices=27, sliceNumber=20, lockTime=02/17/2016 08:40:01, releaseTime=02/17/2016 08:40:01, previousLockTime=02/17/2016 08:39:01)",
    "Event: NotifySliceRelease (resourceName=PipelineScheduler, totalSlices=27, sliceNumber=22, lockTime=02/17/2016 08:41:01, releaseTime=02/17/2016 08:41:00, previousLockTime=02/17/2016 08:40:01)",
    "Event: NotifySliceRelease (resourceName=PipelineScheduler, totalSlices=27, sliceNumber=16, lockTime=02/17/2016 08:41:00, releaseTime=02/17/2016 08:41:00, previousLockTime=02/17/2016 08:40:00)"
];
Traces  
| parse EventText with * "resourceName=" resourceName ", totalSlices=" totalSlices: long * "sliceNumber=" sliceNumber: long * "lockTime=" lockTime ", releaseTime=" releaseTime: date "," * "previousLockTime=" previousLockTime: date ")" *  
| project resourceName, totalSlices, sliceNumber, lockTime, releaseTime, previousLockTime

Wyjście

resourceName	totalSlices	sliceNumber	lockTime	releaseTime	previousLockTime
PipelineScheduler	27	15	02/17/2016 08:40:00	2016-02-17 08:40:00.0000000	2016-02-17 08:39:00.0000000
PipelineScheduler	27	23	02/17/2016 08:40:01	2016-02-17 08:40:01.0000000	2016-02-17 08:39:01.0000000
PipelineScheduler	27	20	02/17/2016 08:40:01	2016-02-17 08:40:01.0000000	2016-02-17 08:39:01.0000000
PipelineScheduler	27	16	02/17/2016 08:41:00	2016-02-17 08:41:00.0000000	2016-02-17 08:40:00.0000000
PipelineScheduler	27	22	02/17/2016 08:41:01	2016-02-17 08:41:00.0000000	2016-02-17 08:40:01.0000000

Wyodrębnianie aliasu wiadomości e-mail i systemu DNS

W poniższym przykładzie wpisy z tabeli Kontakty są analizowane w celu wyodrębnienia aliasu i domeny z adresu e-mail oraz domeny z adresu URL witryny internetowej. Zapytanie zwraca EmailAddresskolumny , EmailAliasi WebsiteDomain , w których kolumna fullEmail łączy przeanalizowane aliasy i domeny poczty e-mail.

Uruchamianie zapytania

let Leads=datatable(Contacts: string)
    [
    "Event: LeadContact (email=john@contosohotel.com, Website=https:contosohotel.com)",
	"Event: LeadContact (email=abi@fourthcoffee.com, Website=https:www.fourthcoffee.com)",
	"Event: LeadContact (email=nevena@treyresearch.com, Website=https:treyresearch.com)",
	"Event: LeadContact (email=faruk@tailspintoys.com, Website=https:tailspintoys.com)",
	"Event: LeadContact (email=ebere@relecloud.com, Website=https:relecloud.com)",
];
Leads
| parse Contacts with * "email=" alias:string "@" domain: string ", Website=https:" WebsiteDomain: string ")"
| project EmailAddress=strcat(alias, "@", domain), EmailAlias=alias, WebsiteDomain

Wyjście

EmailAddress (Adres e-mail)	EmailAlias	Domena witryny sieci Web
nevena@treyresearch.com	nevena	treyresearch.com
john@contosohotel.com	John	contosohotel.com
faruk@tailspintoys.com	faruk	tailspintoys.com
ebere@relecloud.com	ebere	relecloud.com
abi@fourthcoffee.com	Abi	www.fourthcoffee.com

Tryb wyrażeń regularnych

W poniższym przykładzie wyrażenia regularne są używane do analizowania i wyodrębniania danych z kolumny EventText . Wyodrębnione dane są projektowane w nowych polach.

Uruchamianie zapytania

let Traces=datatable(EventText: string)
    [
    "Event: NotifySliceRelease (resourceName=PipelineScheduler, totalSlices=27, sliceNumber=23, lockTime=02/17/2016 08:40:01, releaseTime=02/17/2016 08:40:01, previousLockTime=02/17/2016 08:39:01)",
    "Event: NotifySliceRelease (resourceName=PipelineScheduler, totalSlices=27, sliceNumber=15, lockTime=02/17/2016 08:40:00, releaseTime=02/17/2016 08:40:00, previousLockTime=02/17/2016 08:39:00)",
    "Event: NotifySliceRelease (resourceName=PipelineScheduler, totalSlices=27, sliceNumber=20, lockTime=02/17/2016 08:40:01, releaseTime=02/17/2016 08:40:01, previousLockTime=02/17/2016 08:39:01)",
    "Event: NotifySliceRelease (resourceName=PipelineScheduler, totalSlices=27, sliceNumber=22, lockTime=02/17/2016 08:41:01, releaseTime=02/17/2016 08:41:00, previousLockTime=02/17/2016 08:40:01)",
    "Event: NotifySliceRelease (resourceName=PipelineScheduler, totalSlices=27, sliceNumber=16, lockTime=02/17/2016 08:41:00, releaseTime=02/17/2016 08:41:00, previousLockTime=02/17/2016 08:40:00)"
];
Traces  
| parse kind=regex EventText with "(.*?)[a-zA-Z]*=" resourceName @", totalSlices=\s*\d+\s*.*?sliceNumber=" sliceNumber: long  ".*?(previous)?lockTime=" lockTime ".*?releaseTime=" releaseTime ".*?previousLockTime=" previousLockTime: date "\\)"  
| project resourceName, sliceNumber, lockTime, releaseTime, previousLockTime

Wyjście

resourceName	sliceNumber	lockTime	releaseTime	previousLockTime
PipelineScheduler	15	02/17/2016 08:40:00,	02/17/2016 08:40:00,	2016-02-17 08:39:00.0000000
PipelineScheduler	23	02/17/2016 08:40:01,	02/17/2016 08:40:01,	2016-02-17 08:39:01.0000000
PipelineScheduler	20	02/17/2016 08:40:01,	02/17/2016 08:40:01,	2016-02-17 08:39:01.0000000
PipelineScheduler	16	02/17/2016 08:41:00,	02/17/2016 08:41:00,	2016-02-17 08:40:00.0000000
PipelineScheduler	22	02/17/2016 08:41:01,	02/17/2016 08:41:00,	2016-02-17 08:40:01.0000000

Tryb wyrażeń regularnych z flagami wyrażeń regularnych

W poniższym przykładzie resourceName wyodrębniono.

Uruchamianie zapytania

let Traces=datatable(EventText: string)
    [
    "Event: NotifySliceRelease (resourceName=PipelineScheduler, totalSlices=27, sliceNumber=23, lockTime=02/17/2016 08:40:01, releaseTime=02/17/2016 08:40:01, previousLockTime=02/17/2016 08:39:01)",
    "Event: NotifySliceRelease (resourceName=PipelineScheduler, totalSlices=27, sliceNumber=15, lockTime=02/17/2016 08:40:00, releaseTime=02/17/2016 08:40:00, previousLockTime=02/17/2016 08:39:00)",
    "Event: NotifySliceRelease (resourceName=PipelineScheduler, totalSlices=27, sliceNumber=20, lockTime=02/17/2016 08:40:01, releaseTime=02/17/2016 08:40:01, previousLockTime=02/17/2016 08:39:01)",
    "Event: NotifySliceRelease (resourceName=PipelineScheduler, totalSlices=27, sliceNumber=22, lockTime=02/17/2016 08:41:01, releaseTime=02/17/2016 08:41:00, previousLockTime=02/17/2016 08:40:01)",
    "Event: NotifySliceRelease (resourceName=PipelineScheduler, totalSlices=27, sliceNumber=16, lockTime=02/17/2016 08:41:00, releaseTime=02/17/2016 08:41:00, previousLockTime=02/17/2016 08:40:00)"
];
Traces
| parse kind=regex EventText with * "resourceName=" resourceName ',' *
| project resourceName

Wyjście

resourceName
PipelineScheduler, totalSlices=27, sliceNumber=23, lockTime=02/17/2016 08:40:01, releaseTime=02/17/2016 08:40:01
PipelineScheduler, totalSlices=27, sliceNumber=15, lockTime=02/17/2016 08:40:00, releaseTime=02/17/2016 08:40:00
PipelineScheduler, totalSlices=27, sliceNumber=20, lockTime=02/17/2016 08:40:01, releaseTime=02/17/2016 08:40:01
PipelineScheduler, totalSlices=27, sliceNumber=22, lockTime=02/17/2016 08:41:01, releaseTime=02/17/2016 08:41:00
PipelineScheduler, totalSlices=27, sliceNumber=16, lockTime=02/17/2016 08:41:00, releaseTime=02/17/2016 08:41:00

Jeśli istnieją rekordy, w których resourceName czasami pojawiają się małe litery, a czasami jako wielkie litery, możesz uzyskać wartości null dla niektórych wartości.

Wyniki w poprzednim przykładzie są nieoczekiwane i zawierają pełne dane zdarzeń, ponieważ tryb domyślny jest chciwy. Aby wyodrębnić tylko resourceNamepolecenie , uruchom poprzednie zapytanie z niechłannymi Uflagami , i wyłącz flagi wyrażeń regularnych z uwzględnieniem i wielkości liter.

Uruchamianie zapytania

let Traces=datatable(EventText: string)
    [
    "Event: NotifySliceRelease (resourceName=PipelineScheduler, totalSlices=27, sliceNumber=23, lockTime=02/17/2016 08:40:01, releaseTime=02/17/2016 08:40:01, previousLockTime=02/17/2016 08:39:01)",
    "Event: NotifySliceRelease (resourceName=PipelineScheduler, totalSlices=27, sliceNumber=15, lockTime=02/17/2016 08:40:00, releaseTime=02/17/2016 08:40:00, previousLockTime=02/17/2016 08:39:00)",
    "Event: NotifySliceRelease (resourceName=PipelineScheduler, totalSlices=27, sliceNumber=20, lockTime=02/17/2016 08:40:01, releaseTime=02/17/2016 08:40:01, previousLockTime=02/17/2016 08:39:01)",
    "Event: NotifySliceRelease (resourceName=PipelineScheduler, totalSlices=27, sliceNumber=22, lockTime=02/17/2016 08:41:01, releaseTime=02/17/2016 08:41:00, previousLockTime=02/17/2016 08:40:01)",
    "Event: NotifySliceRelease (resourceName=PipelineScheduler, totalSlices=27, sliceNumber=16, lockTime=02/17/2016 08:41:00, releaseTime=02/17/2016 08:41:00, previousLockTime=02/17/2016 08:40:00)"
];
Traces
| parse kind=regex flags=Ui EventText with * "RESOURCENAME=" resourceName ',' *
| project resourceName

Wyjście

resourceName
PipelineScheduler
PipelineScheduler
PipelineScheduler
PipelineScheduler
PipelineScheduler

Jeśli przeanalizowany ciąg ma nowe linie, użyj flagi s, aby przeanalizować tekst.

Uruchamianie zapytania

let Traces=datatable(EventText: string)
    [
    "Event: NotifySliceRelease (resourceName=PipelineScheduler\ntotalSlices=27\nsliceNumber=23\nlockTime=02/17/2016 08:40:01\nreleaseTime=02/17/2016 08:40:01\npreviousLockTime=02/17/2016 08:39:01)",
    "Event: NotifySliceRelease (resourceName=PipelineScheduler\ntotalSlices=27\nsliceNumber=15\nlockTime=02/17/2016 08:40:00\nreleaseTime=02/17/2016 08:40:00\npreviousLockTime=02/17/2016 08:39:00)",
    "Event: NotifySliceRelease (resourceName=PipelineScheduler\ntotalSlices=27\nsliceNumber=20\nlockTime=02/17/2016 08:40:01\nreleaseTime=02/17/2016 08:40:01\npreviousLockTime=02/17/2016 08:39:01)",
    "Event: NotifySliceRelease (resourceName=PipelineScheduler\ntotalSlices=27\nsliceNumber=22\nlockTime=02/17/2016 08:41:01\nreleaseTime=02/17/2016 08:41:00\npreviousLockTime=02/17/2016 08:40:01)",
    "Event: NotifySliceRelease (resourceName=PipelineScheduler\ntotalSlices=27\nsliceNumber=16\nlockTime=02/17/2016 08:41:00\nreleaseTime=02/17/2016 08:41:00\npreviousLockTime=02/17/2016 08:40:00)"
];
Traces
| parse kind=regex flags=s EventText with * "resourceName=" resourceName: string "(.*?)totalSlices=" totalSlices: long "(.*?)lockTime=" lockTime: datetime "(.*?)releaseTime=" releaseTime: datetime "(.*?)previousLockTime=" previousLockTime: datetime "\\)" 
| project-away EventText

Wyjście

resourceName	totalSlices	lockTime	releaseTime	previousLockTime
PipelineScheduler	27	2016-02-17 08:40:00.0000000	2016-02-17 08:40:00.0000000	2016-02-17 08:39:00.0000000
PipelineScheduler	27	2016-02-17 08:40:01.0000000	2016-02-17 08:40:01.0000000	2016-02-17 08:39:01.0000000
PipelineScheduler	27	2016-02-17 08:40:01.0000000	2016-02-17 08:40:01.0000000	2016-02-17 08:39:01.0000000
PipelineScheduler	27	2016-02-17 08:41:00.0000000	2016-02-17 08:41:00.0000000	2016-02-17 08:40:00.0000000
PipelineScheduler	27	2016-02-17 08:41:01.0000000	2016-02-17 08:41:00.0000000	2016-02-17 08:40:01.0000000

Tryb zrelaksowany

W poniższym przykładzie w trybie zrelaksowanym kolumna totalSlices rozszerzona musi być typu long. Jednak w przeanalizowanym ciągu ma wartość nonValidLongValue. W przypadku kolumny releaseTimerozszerzonej nie można przeanalizować wartości nonValidDateTime jako datetime. Te dwie kolumny rozszerzone powodują null wartości, podczas gdy pozostałe kolumny, takie jak sliceNumber, nadal powodują poprawne wartości.

Jeśli używasz opcji kind = simple dla następującego zapytania, uzyskasz null wyniki dla wszystkich kolumn rozszerzonych. Ta opcja jest ścisła w przypadku kolumn rozszerzonych i jest różnicą między zrelaksowanym i prostym trybem.

Uwaga

W trybie zrelaksowanym kolumny rozszerzone mogą być częściowo dopasowane.

Uruchamianie zapytania

let Traces=datatable(EventText: string)
    [
    "Event: NotifySliceRelease (resourceName=PipelineScheduler, totalSlices=27, sliceNumber=23, lockTime=02/17/2016 08:40:01, releaseTime=nonValidDateTime 08:40:01, previousLockTime=02/17/2016 08:39:01)",
    "Event: NotifySliceRelease (resourceName=PipelineScheduler, totalSlices=27, sliceNumber=15, lockTime=02/17/2016 08:40:00, releaseTime=nonValidDateTime, previousLockTime=02/17/2016 08:39:00)",
    "Event: NotifySliceRelease (resourceName=PipelineScheduler, totalSlices=nonValidLongValue, sliceNumber=20, lockTime=02/17/2016 08:40:01, releaseTime=nonValidDateTime 08:40:01, previousLockTime=02/17/2016 08:39:01)",
    "Event: NotifySliceRelease (resourceName=PipelineScheduler, totalSlices=27, sliceNumber=22, lockTime=02/17/2016 08:41:01, releaseTime=02/17/2016 08:41:00, previousLockTime=02/17/2016 08:40:01)",
    "Event: NotifySliceRelease (resourceName=PipelineScheduler, totalSlices=nonValidLongValue, sliceNumber=16, lockTime=02/17/2016 08:41:00, releaseTime=02/17/2016 08:41:00, previousLockTime=02/17/2016 08:40:00)"
];
Traces
| parse kind=relaxed EventText with * "resourceName=" resourceName ", totalSlices=" totalSlices: long ", sliceNumber=" sliceNumber: long * "lockTime=" lockTime ", releaseTime=" releaseTime: date "," * "previousLockTime=" previousLockTime: date ")" *
| project-away EventText

Wyjście

resourceName	totalSlices	sliceNumber	lockTime	releaseTime	previousLockTime
PipelineScheduler	27	15	02/17/2016 08:40:00		2016-02-17 08:39:00.0000000
PipelineScheduler	27	23	02/17/2016 08:40:01		2016-02-17 08:39:01.0000000
PipelineScheduler		20	02/17/2016 08:40:01		2016-02-17 08:39:01.0000000
PipelineScheduler		16	02/17/2016 08:41:00	2016-02-17 08:41:00.0000000	2016-02-17 08:40:00.0000000
PipelineScheduler	27	22	02/17/2016 08:41:01	2016-02-17 08:41:00.0000000	2016-02-17 08:40:01.0000000

Udostępnij za pośrednictwem

operator parse

Składnia

Parametry

Obsługiwane wartości typów

Tryb wyrażeń regularnych

Zwraca

Przykłady

Analizowanie i rozszerzanie wyników

Wyodrębnianie aliasu wiadomości e-mail i systemu DNS

Tryb wyrażeń regularnych

Tryb wyrażeń regularnych z flagami wyrażeń regularnych

Tryb zrelaksowany

Opinia

Dodatkowe zasoby

Udostępnij za pośrednictwem

operator parse

Składnia

Parametry

Obsługiwane wartości typów

Tryb wyrażeń regularnych

Zwraca

Przykłady

Analizowanie i rozszerzanie wyników

Wyodrębnianie aliasu wiadomości e-mail i systemu DNS

Tryb wyrażeń regularnych

Tryb wyrażeń regularnych z flagami wyrażeń regularnych

Tryb zrelaksowany

Powiązana zawartość

Opinia

Dodatkowe zasoby