Splunk 搜索处理语言（SPL）是一种语言，其中包含许多命令、函数、参数等，这些命令、函数、参数被用来从数据集得到期望的结果。例如，当针对搜索词获得结果集时，你可能希望进一步从结果集中筛选一些更具体的内容。为此，你需要向现有命令添加一些额外的命令。这是通过学习 SPL 的用法来实现的。
Components of SPL
-
Search Terms − 这些是要查找的关键字或词组。
-
Commands − 希望对结果集执行的操作，如设置结果格式或对其进行计数。
-
Functions − 希望对结果应用的计算。例如总和、平均等等。
-
Clauses − 如何对结果集中的字段进行分组或重命名。
Search Terms
这些是在搜索栏中提及的术语，用于从数据集获取满足搜索条件的特定记录。在下例中，我们搜索包含两个突出显示术语的记录。
Commands
可以使用 SPL 提供的许多内置命令来简化分析结果集中数据的过程。在下例中，我们使用 head 命令仅从搜索操作中筛选出前 3 个结果。
Functions
除了命令，Splunk 还提供许多内置函数，这些函数可以从被分析的字段获取输入，并在对该字段应用计算后给出输出。在下例中，我们使用 *Stats avg() *函数来计算作为输入的数字字段的平均值。
Clauses
当我们希望按某个特定字段获取分组结果或希望在输出中重命名字段时，我们分别使用 group by 从句和 as 从句。在下例中，我们获得了 web_application 日志中每个文件的平均字节大小。如您所见，结果显示了每个文件的名称以及每个文件的平均字节数。
