has_any 运算符

适用于：✅Azure 数据资源管理器✅Azure Monitor✅Microsoft Sentinel

筛选记录集中包含任意一组不区分大小写的字符串的数据。 has_any 搜索关键词，一个索引词包含三个或三个以上字符。 如果字少于三个字符，则查询会扫描列中的值，这比在字索引中查找字要慢。

有关其他运算符的详细信息以及确定哪个运算符最适合你的查询，请参阅数据类型字符串运算符。

性能提示

语法

T | col whereexpressionhas_any ... (,)

详细了解语法约定。

参数

返回

其谓词为 的 T 中的行。

示例

以下查询演示如何将 has_any 与逗号分隔的标量值列表一起使用。

StormEvents 
| where State has_any ("CAROLINA", "DAKOTA", "NEW") 
| summarize count() by State

输出

以下查询演示如何将 has_any 与动态数组一起使用。

StormEvents 
| where State has_any (dynamic(['south', 'north']))
| summarize count() by State

输出

也可以使用 let 语句编写相同的查询。

let areas = dynamic(['south', 'north']);
StormEvents 
| where State has_any (areas)
| summarize count() by State

输出

以下查询演示如何将 has_any 与内联表格表达式一起使用。 请注意，内联表格表达式必须用双括号括起来。

StormEvents 
| where State has_any ((PopulationData | where Population > 5000000 | project State))
| summarize count() by State

输出

也可以使用 let 语句编写相同的查询。 请注意，在这种情况下，上例中提供的双括号不是必需的。

let large_states = PopulationData | where Population > 5000000 | project State;
StormEvents 
| where State has_any (large_states)
| summarize count() by State

输出