has_all 运算符

适用于：✅Azure 数据资源管理器✅Azure Monitor✅Microsoft Sentinel

筛选记录集中具有一个或多个不区分大小写的搜索字符串的数据。 has_all 搜索关键词，一个索引词包含三个或三个以上字符。 如果字少于三个字符，则查询会扫描列中的值，这比在字索引中查找字要慢。

有关其他运算符的详细信息以及确定哪个运算符最适合你的查询，请参阅数据类型字符串运算符。

语法

T | where col has_all (expression, ... )

详细了解语法约定。

参数

返回

其谓词为 true 的 T 中的行。

示例

标量集

以下查询显示如何将 has_all 与逗号分隔的标量值集合一起使用。

StormEvents 
| where EpisodeNarrative has_all ("cold", "strong", "afternoon", "hail")
| summarize Count=count() by EventType
| top 3 by Count

输出

动态数组

可以使用动态数组表示法来实现相同的结果。

StormEvents 
| where EpisodeNarrative has_all (dynamic(["cold", "strong", "afternoon", "hail"]))
| summarize Count=count() by EventType
| top 3 by Count

输出

也可以使用 let 语句编写相同的查询。

let criteria = dynamic(["cold", "strong", "afternoon", "hail"]);
StormEvents 
| where EpisodeNarrative has_all (criteria)
| summarize Count=count() by EventType
| top 3 by Count