SPL 搜索指南

SPL（Search Processing Language）是 DataOri 安全数据搜索使用的查询语言。用它检索已入库事件，再通过管道做过滤、字段处理、聚合、关联与地理 enrichment。

本指南描述 2.4 产品线中当前引擎支持的语法与行为。

你能做什么

• 按索引与条件检索事件
• 用管道命令裁剪、重命名、排序、去重与填充字段
• 用 eval / stats 派生字段与聚合
• 用 lookup / iplocation 做维表关联与 IP 地理 enrichment
• 将语句用于搜索页、视图、告警与仪表板

开始之前

• 目标索引已有数据
• 账号具备对应索引的搜索权限
• 已知本环境索引名与常用字段（如 _time、src_ip）

文档结构

语言结构

一条 SPL 由可选的搜索条件与零个或多个管道命令组成：

[<搜索条件>]
| <命令> <参数>
| <命令> <参数>
…

搜索条件写在最左侧，通常包含 index 与布尔表达式。管道符为 |。search 关键字可省略。

index="Linux" AND eventType="login"
| stats count() by userName
| sort - count()
| head 20

• 字段名、字符串字面量一般使用双引号
• 布尔关系为 AND / OR（不区分大小写；AND 优先于 OR）
• 比较运算符支持字符串与整数混比（例如字段值为 "200" 时可与 200 比较）

如何确认成功

• 语句在安全数据搜索中可执行，无语法错误
• 结果列与 fields / table / stats 声明一致
• 使用 iplocation 时，地理库已部署且输出字段有值