parse işleci

Makale
10/15/2024

Şunlar için geçerlidir: ✅Microsoft Fabric ✅Azure Veri Gezgini ✅ Azure İzleyici✅Microsoft Sentinel

Bir dize ifadesini değerlendirir ve değerini bir veya daha fazla hesaplanmış sütuna ayrıştırıyor. Hesaplanmış sütunlar başarısız ayrıştırılmış dizeler için değerler döndürür null . Ayrıştırma işleminin başarılı olmadığı satırları kullanmanız gerekmiyorsa ayrıştırma-where işlecini kullanmayı tercih edin.

Sözdizimi

T | parse [ kind=kind [ flags=regexFlags ]] ifadesi with [ * ] stringConstant columnName [: columnType] [ * ] , ...

Söz dizimi kuralları hakkında daha fazla bilgi edinin.

Parametreler

Ad	Tür	Zorunlu	Açıklama
T	`string`	✔️	Ayrıştırmak için tablosal giriş.
tür	`string`	✔️	Desteklenen tür değerlerinden biri. Varsayılan değer şudur: `simple`.
regexFlags	`string`		türü ise, tekil olmayan, çok satırlı mod`s`, `m` yeni satır `\n`eşleştirme ve `i` büyük/küçük harfe duyarsız gibi `U` kullanılacak regex bayraklarını belirtebilirsiniz.`regex` Bayraklar bölümünde daha fazla bayrak bulunabilir.
ifade	`string`	✔️	Dize olarak değerlendirilen ifade.
stringConstant	`string`	✔️	Aranacak ve ayrıştırılan dize sabiti.
columnName	`string`	✔️	Dize ifadesinden ayıklanan, değer atanacak sütunun adı.
columnType	`string`		Değerin dönüştürülecek türünü gösteren skaler değer. Varsayılan değer: `string`.

Not

Ayrıştırma deseni StringConstant'a ek olarak ColumnName ile başlayabilir.
Gereksiz değerleri atlamak için desende kullanın * . * bir tür sütunundan sonra string kullanılamaz.
Ayrıştırılan ifade türünde stringdeğilse, türüne stringdönüştürülür.
Ayrıca bazı sütunları bırakmak veya yeniden adlandırmak istiyorsanız kullanın project .

Desteklenen tür değerleri

Metin	Açıklama
`simple`	Bu varsayılan değerdir. stringConstant normal bir dize değeridir ve eşleşme katıdır. Tüm dize sınırlayıcıları ayrıştırılmış dizede görünmelidir ve tüm genişletilmiş sütunlar gerekli türlerle eşleşmelidir.
`regex`	stringConstant normal bir ifade olabilir ve eşleşme katıdır. Bu mod için bir regex olabilecek tüm dize sınırlayıcıları ayrıştırılmış dizede görünmelidir ve tüm genişletilmiş sütunların gerekli türlerle eşleşmesi gerekir.
`relaxed`	stringConstant normal bir dize değeridir ve eşleşme gevşetilir. Tüm dize sınırlayıcıları ayrıştırılmış dizede görünmelidir, ancak genişletilmiş sütunlar gerekli türlerle kısmen eşleşebilir. Gerekli türlere uymamış genişletilmiş sütunlar değerini `null`alır.

Regex modu

Regex modunda ayrıştır, deseni bir regex'e çevirir. Eşleştirmeyi yapmak için normal ifadeleri kullanın ve dahili olarak işlenen numaralandırılmış yakalanan grupları kullanın. Örneğin:

parse kind=regex Col with * <regex1> var1:string <regex2> var2:long

Ayrıştırma deyiminde, ayrıştırma tarafından dahili olarak oluşturulan regex şeklindedir .*?<regex1>(.*?)<regex2>(\-\d+).

* olarak çevrildi .*?.
string olarak çevrildi .*?.
long olarak çevrildi \-\d+.

Döndürülenler

Giriş tablosu, işlecine sağlanan sütun listesine göre genişletilmiş.

Örnekler

işleci, parse aynı string ifadede birden çok extract uygulama kullanarak tabloya extend kolaylaştırılmış bir yol sağlar. Bu sonuç, tabloda tek tek sütunlara bölmek istediğiniz birkaç değer içeren bir string sütun olduğunda kullanışlıdır. Örneğin, geliştirici izleme ("printf"/"Console.WriteLine") deyimi tarafından oluşturulan bir sütun.

Sonuçları ayrıştırma ve genişletme

Aşağıdaki örnekte, tablo Traces sütunu EventText biçimindeki Event: NotifySliceRelease (resourceName={0}, totalSlices={1}, sliceNumber={2}, lockTime={3}, releaseTime={4}, previousLockTime={5})dizeleri içerir. İşlem, tabloyu altı sütunla genişletir: resourceName, totalSlices, sliceNumber, lockTime, releaseTimeve previousLockTime.

Sorguyu çalıştırma

let Traces = datatable(EventText: string)
    [
    "Event: NotifySliceRelease (resourceName=PipelineScheduler, totalSlices=27, sliceNumber=23, lockTime=02/17/2016 08:40:01, releaseTime=02/17/2016 08:40:01, previousLockTime=02/17/2016 08:39:01)",
    "Event: NotifySliceRelease (resourceName=PipelineScheduler, totalSlices=27, sliceNumber=15, lockTime=02/17/2016 08:40:00, releaseTime=02/17/2016 08:40:00, previousLockTime=02/17/2016 08:39:00)",
    "Event: NotifySliceRelease (resourceName=PipelineScheduler, totalSlices=27, sliceNumber=20, lockTime=02/17/2016 08:40:01, releaseTime=02/17/2016 08:40:01, previousLockTime=02/17/2016 08:39:01)",
    "Event: NotifySliceRelease (resourceName=PipelineScheduler, totalSlices=27, sliceNumber=22, lockTime=02/17/2016 08:41:01, releaseTime=02/17/2016 08:41:00, previousLockTime=02/17/2016 08:40:01)",
    "Event: NotifySliceRelease (resourceName=PipelineScheduler, totalSlices=27, sliceNumber=16, lockTime=02/17/2016 08:41:00, releaseTime=02/17/2016 08:41:00, previousLockTime=02/17/2016 08:40:00)"
];
Traces  
| parse EventText with * "resourceName=" resourceName ", totalSlices=" totalSlices: long * "sliceNumber=" sliceNumber: long * "lockTime=" lockTime ", releaseTime=" releaseTime: date "," * "previousLockTime=" previousLockTime: date ")" *  
| project resourceName, totalSlices, sliceNumber, lockTime, releaseTime, previousLockTime

Çıktı

resourceName	totalSlices	sliceNumber	lockTime	releaseTime	previousLockTime
PipelineScheduler	27	15	02/17/2016 08:40:00	2016-02-17 08:40:00.0000000	2016-02-17 08:39:00.0000000
PipelineScheduler	27	23	02/17/2016 08:40:01	2016-02-17 08:40:01.0000000	2016-02-17 08:39:01.0000000
PipelineScheduler	27	20	02/17/2016 08:40:01	2016-02-17 08:40:01.0000000	2016-02-17 08:39:01.0000000
PipelineScheduler	27	16	02/17/2016 08:41:00	2016-02-17 08:41:00.0000000	2016-02-17 08:40:00.0000000
PipelineScheduler	27	22	02/17/2016 08:41:01	2016-02-17 08:41:00.0000000	2016-02-17 08:40:01.0000000

E-posta diğer adını ve DNS'i ayıklama

Aşağıdaki örnekte, bir e-posta adresinden diğer adı ve etki alanını ve bir web sitesi URL'sinden etki alanını ayıklamak için Kişiler tablosundaki girdiler ayrıştırılır. Sorgu, sütunun EmailAddressayrıştırılmış e-posta diğer adlarını ve WebsiteDomain etki alanlarını birleştirdiği fullEmail , EmailAliasve sütunlarını döndürür.

Sorguyu çalıştırma

let Leads=datatable(Contacts: string)
    [
    "Event: LeadContact (email=john@contosohotel.com, Website=https:contosohotel.com)",
	"Event: LeadContact (email=abi@fourthcoffee.com, Website=https:www.fourthcoffee.com)",
	"Event: LeadContact (email=nevena@treyresearch.com, Website=https:treyresearch.com)",
	"Event: LeadContact (email=faruk@tailspintoys.com, Website=https:tailspintoys.com)",
	"Event: LeadContact (email=ebere@relecloud.com, Website=https:relecloud.com)",
];
Leads
| parse Contacts with * "email=" alias:string "@" domain: string ", Website=https:" WebsiteDomain: string ")"
| project EmailAddress=strcat(alias, "@", domain), EmailAlias=alias, WebsiteDomain

Çıktı

EmailAddress	EmailAlias	Web SitesiEtki Alanı
nevena@treyresearch.com	nevena	treyresearch.com
john@contosohotel.com	John	contosohotel.com
faruk@tailspintoys.com	faruk	tailspintoys.com
ebere@relecloud.com	ebere	relecloud.com
abi@fourthcoffee.com	abi	www.fourthcoffee.com

Regex modu

Aşağıdaki örnekte, normal ifadeler sütundaki EventText verileri ayrıştırmak ve ayıklamak için kullanılır. Ayıklanan veriler yeni alanlara yansıtılır.

Sorguyu çalıştırma

let Traces=datatable(EventText: string)
    [
    "Event: NotifySliceRelease (resourceName=PipelineScheduler, totalSlices=27, sliceNumber=23, lockTime=02/17/2016 08:40:01, releaseTime=02/17/2016 08:40:01, previousLockTime=02/17/2016 08:39:01)",
    "Event: NotifySliceRelease (resourceName=PipelineScheduler, totalSlices=27, sliceNumber=15, lockTime=02/17/2016 08:40:00, releaseTime=02/17/2016 08:40:00, previousLockTime=02/17/2016 08:39:00)",
    "Event: NotifySliceRelease (resourceName=PipelineScheduler, totalSlices=27, sliceNumber=20, lockTime=02/17/2016 08:40:01, releaseTime=02/17/2016 08:40:01, previousLockTime=02/17/2016 08:39:01)",
    "Event: NotifySliceRelease (resourceName=PipelineScheduler, totalSlices=27, sliceNumber=22, lockTime=02/17/2016 08:41:01, releaseTime=02/17/2016 08:41:00, previousLockTime=02/17/2016 08:40:01)",
    "Event: NotifySliceRelease (resourceName=PipelineScheduler, totalSlices=27, sliceNumber=16, lockTime=02/17/2016 08:41:00, releaseTime=02/17/2016 08:41:00, previousLockTime=02/17/2016 08:40:00)"
];
Traces  
| parse kind=regex EventText with "(.*?)[a-zA-Z]*=" resourceName @", totalSlices=\s*\d+\s*.*?sliceNumber=" sliceNumber: long  ".*?(previous)?lockTime=" lockTime ".*?releaseTime=" releaseTime ".*?previousLockTime=" previousLockTime: date "\\)"  
| project resourceName, sliceNumber, lockTime, releaseTime, previousLockTime

Çıktı

resourceName	sliceNumber	lockTime	releaseTime	previousLockTime
PipelineScheduler	15	02/17/2016 08:40:00,	02/17/2016 08:40:00,	2016-02-17 08:39:00.0000000
PipelineScheduler	23	02/17/2016 08:40:01,	02/17/2016 08:40:01,	2016-02-17 08:39:01.0000000
PipelineScheduler	20	02/17/2016 08:40:01,	02/17/2016 08:40:01,	2016-02-17 08:39:01.0000000
PipelineScheduler	16	02/17/2016 08:41:00,	02/17/2016 08:41:00,	2016-02-17 08:40:00.0000000
PipelineScheduler	22	02/17/2016 08:41:01,	02/17/2016 08:41:00,	2016-02-17 08:40:01.0000000

Regex bayraklarıyla regex modu

Aşağıdaki örnekte resourceName ayıklanır.

Sorguyu çalıştırma

let Traces=datatable(EventText: string)
    [
    "Event: NotifySliceRelease (resourceName=PipelineScheduler, totalSlices=27, sliceNumber=23, lockTime=02/17/2016 08:40:01, releaseTime=02/17/2016 08:40:01, previousLockTime=02/17/2016 08:39:01)",
    "Event: NotifySliceRelease (resourceName=PipelineScheduler, totalSlices=27, sliceNumber=15, lockTime=02/17/2016 08:40:00, releaseTime=02/17/2016 08:40:00, previousLockTime=02/17/2016 08:39:00)",
    "Event: NotifySliceRelease (resourceName=PipelineScheduler, totalSlices=27, sliceNumber=20, lockTime=02/17/2016 08:40:01, releaseTime=02/17/2016 08:40:01, previousLockTime=02/17/2016 08:39:01)",
    "Event: NotifySliceRelease (resourceName=PipelineScheduler, totalSlices=27, sliceNumber=22, lockTime=02/17/2016 08:41:01, releaseTime=02/17/2016 08:41:00, previousLockTime=02/17/2016 08:40:01)",
    "Event: NotifySliceRelease (resourceName=PipelineScheduler, totalSlices=27, sliceNumber=16, lockTime=02/17/2016 08:41:00, releaseTime=02/17/2016 08:41:00, previousLockTime=02/17/2016 08:40:00)"
];
Traces
| parse kind=regex EventText with * "resourceName=" resourceName ',' *
| project resourceName

Çıktı

resourceName
PipelineScheduler, totalSlices=27, sliceNumber=23, lockTime=02/17/2016 08:40:01, releaseTime=02/17/2016 08:40:01
PipelineScheduler, totalSlices=27, sliceNumber=15, lockTime=02/17/2016 08:40:00, releaseTime=02/17/2016 08:40:00
PipelineScheduler, totalSlices=27, sliceNumber=20, lockTime=02/17/2016 08:40:01, releaseTime=02/17/2016 08:40:01
PipelineScheduler, totalSlices=27, sliceNumber=22, lockTime=02/17/2016 08:41:01, releaseTime=02/17/2016 08:41:00
PipelineScheduler, totalSlices=27, sliceNumber=16, lockTime=02/17/2016 08:41:00, releaseTime=02/17/2016 08:41:00

Bazen küçük harf, bazen de büyük harf olarak görünen kayıtlar resourceName varsa, bazı değerler için null değerleri alabilirsiniz.

Önceki örnekteki sonuçlar beklenmediktir ve varsayılan mod doyumsuz olduğundan tam olay verilerini içerir. Yalnızca resourceNameayıklamak için, doyumsuz Uolmayan ile önceki sorguyu çalıştırın ve büyük/küçük harfe duyarlı i regex bayraklarını devre dışı bırakın.

Sorguyu çalıştırma

let Traces=datatable(EventText: string)
    [
    "Event: NotifySliceRelease (resourceName=PipelineScheduler, totalSlices=27, sliceNumber=23, lockTime=02/17/2016 08:40:01, releaseTime=02/17/2016 08:40:01, previousLockTime=02/17/2016 08:39:01)",
    "Event: NotifySliceRelease (resourceName=PipelineScheduler, totalSlices=27, sliceNumber=15, lockTime=02/17/2016 08:40:00, releaseTime=02/17/2016 08:40:00, previousLockTime=02/17/2016 08:39:00)",
    "Event: NotifySliceRelease (resourceName=PipelineScheduler, totalSlices=27, sliceNumber=20, lockTime=02/17/2016 08:40:01, releaseTime=02/17/2016 08:40:01, previousLockTime=02/17/2016 08:39:01)",
    "Event: NotifySliceRelease (resourceName=PipelineScheduler, totalSlices=27, sliceNumber=22, lockTime=02/17/2016 08:41:01, releaseTime=02/17/2016 08:41:00, previousLockTime=02/17/2016 08:40:01)",
    "Event: NotifySliceRelease (resourceName=PipelineScheduler, totalSlices=27, sliceNumber=16, lockTime=02/17/2016 08:41:00, releaseTime=02/17/2016 08:41:00, previousLockTime=02/17/2016 08:40:00)"
];
Traces
| parse kind=regex flags=Ui EventText with * "RESOURCENAME=" resourceName ',' *
| project resourceName

Çıktı

resourceName
PipelineScheduler
PipelineScheduler
PipelineScheduler
PipelineScheduler
PipelineScheduler

Ayrıştırılan dizede yeni satırlar varsa, metni ayrıştırmak için bayrağını skullanın.

Sorguyu çalıştırma

let Traces=datatable(EventText: string)
    [
    "Event: NotifySliceRelease (resourceName=PipelineScheduler\ntotalSlices=27\nsliceNumber=23\nlockTime=02/17/2016 08:40:01\nreleaseTime=02/17/2016 08:40:01\npreviousLockTime=02/17/2016 08:39:01)",
    "Event: NotifySliceRelease (resourceName=PipelineScheduler\ntotalSlices=27\nsliceNumber=15\nlockTime=02/17/2016 08:40:00\nreleaseTime=02/17/2016 08:40:00\npreviousLockTime=02/17/2016 08:39:00)",
    "Event: NotifySliceRelease (resourceName=PipelineScheduler\ntotalSlices=27\nsliceNumber=20\nlockTime=02/17/2016 08:40:01\nreleaseTime=02/17/2016 08:40:01\npreviousLockTime=02/17/2016 08:39:01)",
    "Event: NotifySliceRelease (resourceName=PipelineScheduler\ntotalSlices=27\nsliceNumber=22\nlockTime=02/17/2016 08:41:01\nreleaseTime=02/17/2016 08:41:00\npreviousLockTime=02/17/2016 08:40:01)",
    "Event: NotifySliceRelease (resourceName=PipelineScheduler\ntotalSlices=27\nsliceNumber=16\nlockTime=02/17/2016 08:41:00\nreleaseTime=02/17/2016 08:41:00\npreviousLockTime=02/17/2016 08:40:00)"
];
Traces
| parse kind=regex flags=s EventText with * "resourceName=" resourceName: string "(.*?)totalSlices=" totalSlices: long "(.*?)lockTime=" lockTime: datetime "(.*?)releaseTime=" releaseTime: datetime "(.*?)previousLockTime=" previousLockTime: datetime "\\)" 
| project-away EventText

Çıktı

resourceName	totalSlices	lockTime	releaseTime	previousLockTime
PipelineScheduler	27	2016-02-17 08:40:00.0000000	2016-02-17 08:40:00.0000000	2016-02-17 08:39:00.0000000
PipelineScheduler	27	2016-02-17 08:40:01.0000000	2016-02-17 08:40:01.0000000	2016-02-17 08:39:01.0000000
PipelineScheduler	27	2016-02-17 08:40:01.0000000	2016-02-17 08:40:01.0000000	2016-02-17 08:39:01.0000000
PipelineScheduler	27	2016-02-17 08:41:00.0000000	2016-02-17 08:41:00.0000000	2016-02-17 08:40:00.0000000
PipelineScheduler	27	2016-02-17 08:41:01.0000000	2016-02-17 08:41:00.0000000	2016-02-17 08:40:01.0000000

Gevşek mod

Aşağıdaki gevşek mod örneğinde genişletilmiş sütun totalSlices türünde longolmalıdır. Ancak, ayrıştırılan dizede değerine nonValidLongValuesahiptir. genişletilmiş sütunu releaseTimeiçin değer nonValidDateTime olarak datetimeayrıştırılamaz. Bu iki genişletilmiş sütun değerlere neden null olurken, gibi sliceNumberdiğer sütunlar yine de doğru değerlere neden olur.

Aşağıdaki sorgu için seçeneğini kind = simple kullanırsanız, tüm genişletilmiş sütunların sonuçlarını alırsınız null . Bu seçenek genişletilmiş sütunlarda katıdır ve rahat ve basit mod arasındaki farktır.

Not

Gevşek modda genişletilmiş sütunlar kısmen eşleştirilebilir.

Sorguyu çalıştırma

let Traces=datatable(EventText: string)
    [
    "Event: NotifySliceRelease (resourceName=PipelineScheduler, totalSlices=27, sliceNumber=23, lockTime=02/17/2016 08:40:01, releaseTime=nonValidDateTime 08:40:01, previousLockTime=02/17/2016 08:39:01)",
    "Event: NotifySliceRelease (resourceName=PipelineScheduler, totalSlices=27, sliceNumber=15, lockTime=02/17/2016 08:40:00, releaseTime=nonValidDateTime, previousLockTime=02/17/2016 08:39:00)",
    "Event: NotifySliceRelease (resourceName=PipelineScheduler, totalSlices=nonValidLongValue, sliceNumber=20, lockTime=02/17/2016 08:40:01, releaseTime=nonValidDateTime 08:40:01, previousLockTime=02/17/2016 08:39:01)",
    "Event: NotifySliceRelease (resourceName=PipelineScheduler, totalSlices=27, sliceNumber=22, lockTime=02/17/2016 08:41:01, releaseTime=02/17/2016 08:41:00, previousLockTime=02/17/2016 08:40:01)",
    "Event: NotifySliceRelease (resourceName=PipelineScheduler, totalSlices=nonValidLongValue, sliceNumber=16, lockTime=02/17/2016 08:41:00, releaseTime=02/17/2016 08:41:00, previousLockTime=02/17/2016 08:40:00)"
];
Traces
| parse kind=relaxed EventText with * "resourceName=" resourceName ", totalSlices=" totalSlices: long ", sliceNumber=" sliceNumber: long * "lockTime=" lockTime ", releaseTime=" releaseTime: date "," * "previousLockTime=" previousLockTime: date ")" *
| project-away EventText

Çıktı

resourceName	totalSlices	sliceNumber	lockTime	releaseTime	previousLockTime
PipelineScheduler	27	15	02/17/2016 08:40:00		2016-02-17 08:39:00.0000000
PipelineScheduler	27	23	02/17/2016 08:40:01		2016-02-17 08:39:01.0000000
PipelineScheduler		20	02/17/2016 08:40:01		2016-02-17 08:39:01.0000000
PipelineScheduler		16	02/17/2016 08:41:00	2016-02-17 08:41:00.0000000	2016-02-17 08:40:00.0000000
PipelineScheduler	27	22	02/17/2016 08:41:01	2016-02-17 08:41:00.0000000	2016-02-17 08:40:01.0000000

Aracılığıyla paylaş

parse işleci

Sözdizimi

Parametreler

Desteklenen tür değerleri

Regex modu

Döndürülenler

Örnekler

Sonuçları ayrıştırma ve genişletme

E-posta diğer adını ve DNS'i ayıklama

Regex modu

Regex bayraklarıyla regex modu

Gevşek mod

Geri Bildirim

Ek kaynaklar

Aracılığıyla paylaş

parse işleci

Sözdizimi

Parametreler

Desteklenen tür değerleri

Regex modu

Döndürülenler

Örnekler

Sonuçları ayrıştırma ve genişletme

E-posta diğer adını ve DNS'i ayıklama

Regex modu

Regex bayraklarıyla regex modu

Gevşek mod

İlgili içerik

Geri Bildirim

Ek kaynaklar