splunk 中的负正则表达式（不使用字段）答案

【问题标题】：Negative regex in splunk (not using fields)splunk 中的负正则表达式（不使用字段）
【发布时间】：2015-06-22 09:10:35
【问题描述】：

在不提取字段的情况下，我想搜索任何不包含“country=$”的事件，即事件不能以“country=”结尾。我可以将其正则表达式为“country=(?!$)”，但这仍然需要国家/地区出现在事件中，这不是我想要的。

示例：我的搜索：

source=*vhost* | regex "country=(?!$)"

事件：

language=en&country=&playerId=29539105

language=en&country=

general error

我想排除中间的一个，同时还击中另外两个。我可以在常规的正则表达式评估器中做到这一点，但 splunk 似乎并没有以同样的方式读取正则表达式。

在常规的正则表达式解释器中，我已经匹配到 (?!(country=$)) 就足够了，但 splunk 不理解这一点，并命中所有事件。

【问题讨论】：

标签： splunk

【解决方案1】：

找到问题的一种解决方案，如果不是特定于正则表达式：

regex _raw!="country=$"

【讨论】：