where vs sort：哪个更有效？

【问题标题】：where vs sort: Which is more efficient?where vs sort：哪个更有效？
【发布时间】：2021-10-07 18:12:50
【问题描述】：

哪个更有效 - 在哪里或排序？我有大量的数据，效率对我很重要。我应该先做“哪里”，还是先做“排序”？

|其中计数>100 |排序计数水果

或

|排序计数水果 |其中计数>100

【问题讨论】：

【解决方案1】：

先过滤（使用where 或其他命令）效率更高。这意味着下游命令需要处理的东西更少，因此它们工作得更快并且使用的资源更少。

【讨论】：

【解决方案2】：

“正确”的答案是@RichG gave

但是，与生活中的大多数事情一样，“现实”的答案是“取决于”

应该在排序前过滤会更高效

但我已经看到稍后过滤实际上更有效的实例（取决于许多因素） - 所以你真的需要尝试两种方法来确定

Docs.Splunk 链接：

【讨论】：