find 运算符

适用于：✅Azure 数据资源管理器✅Azure Monitor✅Microsoft Sentinel

在一组表中查找与谓词匹配的行。

find in (Table1, Table2, Table3) where Fruit=="apple"

find in (database('*').*) where Fruit == "apple"

find in (cluster('cluster_name').database('MyDB*').*) where Fruit == "apple"

find in (Table1, Table2, Table3) where Fruit=="apple"

语法

• find [withsource= ColumnName] [in(表)] where谓词 [project-smart | projectColumnName[:ColumnType , ... ] [,pack_all()]]

• find 谓词 [project-smart | projectColumnName[:ColumnType , ... ] [,pack_all()]]

详细了解语法约定。

参数

返回

Predicate 为 的 Table [, Table, ...] 中的行的转换true。 行根据输出架构进行转换。

输出架构

source_ 列

find 运算符输出始终包含具有源表名称的 source_ 列。 可以使用 withsource 参数重命名该列。

结果列

筛选掉不包含谓词计算使用的任何列的源表。

使用 project-smart时，输出中显示的列为：

• 在谓词中显式显示的列。
• 所有筛选的表的公共列。

其余列将打包到属性包中，并出现在额外的 pack 列中。 由谓词显式引用的列，并出现在具有多个类型的多个表中，每个此类类型的结果架构中都有一个不同的列。 每个列名都是从原始列名和类型构造的，用下划线分隔。

使用 projectColumnName[:ColumnType , ... ] [,pack_all()] 时：

• 结果表包括列表中指定的列。 如果源表不包含特定列，则相应行中的值为 null。
• 使用 ColumnName指定 ColumnType 时，“result”中的此列具有给定类型，并且值会根据需要强制转换为该类型。 在计算 谓词时，强制转换对列类型没有影响。
• 使用 pack_all() 时，所有列（包括投影列）都会打包到属性包中，并默认显示为“column1”。 在该属性包中，源列名称用作属性名称，列的值用作属性值。

谓词语法

find 运算符支持 * has 术语的替代语法，并且仅使用 术语搜索所有输入列的字词。

有关某些筛选函数的摘要，请参阅 where 运算符。

注意事项

• 如果 project 子句引用了出现在多个表中且具有多种类型的列，则在 project 子句中，类型必须遵循此列引用
• 如果列出现在多个表中，并且有多个类型和 project-smart 正在使用，则 find结果中的每个类型都有对应的列，如 联合
• 使用 项目智能时，谓词、源表集或表架构中的更改可能会导致输出架构更改。 如果需要常量结果架构，请改用 project
• find 作用域不能包括函数。 若要在 find 范围中包含函数，请使用 view 关键字定义 let 语句。

性能提示

• 使用表，而不是表格表达式。 如果使用表格表达式，则 find 运算符将回退到 union 查询，这可能会导致性能下降。
• 如果列出现在多个表中并具有多种类型，并且是 project 子句的一部分，则在将表传递给 之前，最好将 ColumnType 添加到 project 子句，而不是修改表。
• 向谓词添加基于时间的筛选器。 使用日期/时间列值或 ingestion_time()。
• 搜索特定列而不是全文搜索。
• 最好不要引用出现在多个表中且具有多个类型的列。 如果在解析多个类型的此类列类型时谓词有效，则查询会回退到联合。 例如，请参阅 find 充当联合的情况的示例。

示例

常规示例

find "Hernandez"

find in (C*) where * has "Hernandez"

find in (database('*').*) where * has "Kusto"

find in (database("S*").C*) where * has "Kusto"

find in (cluster("cluster1").database("B*").K*, cluster("cluster2").database("C*".*))
where * has "Kusto"

find "Kusto"

find 输出结果的示例

假设我们有这两个表的以下内容：

EventsTable1

EventsTable2

以下示例根据给定Session_Id和错误级别搜索 EventsTable1 和 EventsTable2 中的特定记录。 然后，它会投影三个特定列：EventText、Version和 EventName，并将所有其他剩余列打包到动态对象中。

find in (EventsTable1, EventsTable2) 
     where Session_Id == 'acbd207d-51aa-4df7-bfa7-be70eb68f04e' and Level == 'Error' 
     project EventText, Version, EventName, pack_all()

输出

以下示例 搜索版本为 “v1.0.0”或 EventName 为“Event1 ”的记录，然后从筛选的结果中投影（选择）四个特定列： Session_Id、 EventText、 Version 和 EventName 。

find Version == 'v1.0.0' or EventName == 'Event1' project Session_Id, EventText, Version, EventName

输出

以下示例在数据库中搜索与“acbd207d-51aa-4df7-bfa7-be70eb68f04e”匹配的 Session_Id 的任何记录。 它从包含此特定 Session_Id的所有表和列中检索记录。

find Session_Id == 'acbd207d-51aa-4df7-bfa7-be70eb68f04e'

输出

以下示例在数据库中搜索具有指定 Session_Id 的记录，并将这些记录的所有列作为单个动态对象返回。

find Session_Id == 'acbd207d-51aa-4df7-bfa7-be70eb68f04e' project pack_all()

输出

充当联合的情况 find 示例

Kusto 中的 find 运算符有时可以像 union 运算符一样，这主要是当它用于跨多个表进行搜索时。

以下示例首先创建一个视图，该视图筛选 EventsTable1 以仅包含错误级别记录。 然后，它会在此筛选视图和 EventsTable2 表中搜索具有特定 Session_Id的记录。

let PartialEventsTable1 = view() { EventsTable1 | where Level == 'Error' };
find in (PartialEventsTable1, EventsTable2) 
     where Session_Id == 'acbd207d-51aa-4df7-bfa7-be70eb68f04e'

以下示例演示了运算符如何在 find 具有不同类型的多个表中显示列时充当 union 该运算符。 在这种情况下， ProcessId 该列同时存在于 Table1 和 Table2 中，但类型不同。 对于此示例，通过运行创建两个表：

.create tables 
  Table1 (Level:string, Timestamp:datetime, ProcessId:string),
  Table2 (Level:string, Timestamp:datetime, ProcessId:int64)

• 以下查询将作为 union执行。

find in (Table1, Table2) where ProcessId == 1001

输出结果架构 （Level：string、Timestamp、ProcessId_string、ProcessId_int）。

• 以下查询将作为 union执行，但会生成不同的结果架构。

find in (Table1, Table2) where ProcessId == 1001 project Level, Timestamp, ProcessId:string 

输出结果架构 （Level：string、Timestamp、ProcessId_string）