extract_all()

适用于：✅Azure 数据资源管理器✅Azure Monitor✅Microsoft Sentinel

从源字符串中获取正则表达式的所有匹配项。 还可以检索匹配组的子集。

print extract_all(@"(\d+)", "a set of numbers: 123, 567 and 789") // results with the dynamic array ["123", "567", "789"]

弃用的别名：extractall()

语法

extract_all(regex, [captureGroups,] source)

详细了解语法约定。

参数

返回

• 如果 regex 在 source 中找到匹配项，则：返回一个动态数组，其中包括针对所指示的捕获组 captureGroups 或 regex 中的所有捕获组的所有匹配项 。
• 如果 captureGroups 的数目为 1，则：返回的数组有一维的匹配值。
• 如果 captureGroups 的数目大于 1，则：返回的数组是一个二维集合，其中包含针对 captureGroups 选择或 regex 中出现的所有捕获组（如果省略 captureGroups）的多值匹配项。
• 如果没有匹配项，则返回：null。

示例

提取单个捕获组

以下查询返回 GUID 的十六进制字节表示形式（两个十六进制数字）。

print Id="82b8be2d-dfa7-4bd1-8f63-24ad26d31449"
| extend guid_bytes = extract_all(@"([\da-f]{2})", Id) 

输出

提取多个捕获组

以下查询使用带有三个捕获组的正则表达式，将每个 GUID 部分拆分为第一个字母、最后一个字母以及中间部分。

print Id="82b8be2d-dfa7-4bd1-8f63-24ad26d31449"
| extend guid_bytes = extract_all(@"(\w)(\w+)(\w)", Id)

输出

提取捕获组的子集

以下查询选择捕获组的一个子集。

正则表达式匹配第一个字母、最后一个字母以及所有剩余部分。

captureGroups 参数仅用于选择第一个和最后一个部分。

print Id="82b8be2d-dfa7-4bd1-8f63-24ad26d31449"
| extend guid_bytes = extract_all(@"(\w)(\w+)(\w)", dynamic([1,3]), Id) 

输出

使用命名捕获组

以下查询中的 captureGroups 使用捕获组索引和命名捕获组引用来提取匹配值。

print Id="82b8be2d-dfa7-4bd1-8f63-24ad26d31449"
| extend guid_bytes = extract_all(@"(?P<first>\w)(?P<middle>\w+)(?P<last>\w)", dynamic(['first',2,'last']), Id) 

输出

相关内容

• extract 函数
• extract-json 函数
• parse 运算符