Let statement

适用于：✅Azure 数据资源管理器✅Azure Monitor✅Microsoft Sentinel

let 语句用于设置与表达式或函数同名的变量名称，或创建视图。

let 语句可用于：

• 将复杂表达式分解为多个部分，每个部分由变量表示。
• 定义查询正文外部的常量，以提高可读性。
• 定义变量一次，即可在查询中多次使用。

例如，如果变量以前在嵌套语句中表示另一个值，则会应用最里面的 let 语句。

若要在单个查询中优化 let 语句的多次使用，请参阅优化使用命名表达式的查询。

语法：标量表达式或表格表达式

let 名称 表达式=

详细了解语法约定。

Parameters

语法：视图或函数

let 名称 [=] view[ 参数 ]( FunctionBody ){}

详细了解语法约定。

Parameters

Examples

查询示例显示运算符、语句或函数的语法和示例用法。

定义标量值

下面的示例使用标量表达式语句。

let threshold = 50;
let region = "West";
datatable(Name:string, Score:int, Region:string)
[
    "Alice", 45, "West",
    "Bob", 60, "East",
    "Charlie", 55, "West",
    "Dana", 70, "North"
]
| where Score > threshold and Region == region

Output

定义表格表达式

以下示例使用 some number 表示法绑定名称 ['name']，然后在表格表达式语句中使用它。

let ['some number'] = 20;
range y from 0 to ['some number'] step 5

Output

使用标量计算创建用户定义函数

此示例使用带有自变量的 let 语句进行标量计算。 该查询定义了用于将两个数字相乘的函数 MultiplyByN。

let MultiplyByN = (val:long, n:long) { val * n };
range x from 1 to 5 step 1 
| extend result = MultiplyByN(x, 5)

Output

创建用于剪裁输入的用户定义函数

以下示例删除输入中的前导/尾随空格。

let TrimOnes = (s:string) { trim("1", s) };
range x from 10 to 15 step 1 
| extend result = TrimOnes(tostring(x))

Output

使用多个 let 语句

此示例定义了两个 let 语句，其中一个语句 (foo2) 使用另一个语句 (foo1)。

let foo1 = (_start:long, _end:long, _step:long) { range x from _start to _end step _step};
let foo2 = (_step:long) { foo1(1, 100, _step)};
foo2(2) | count

Output

创建视图或虚拟表

此示例演示如何使用 let 语句创建 view 或虚拟表。

let Range10 = view () { range MyColumn from 1 to 10 step 1 };
let Range20 = view () { range MyColumn from 1 to 20 step 1 };
search MyColumn == 5

Output

使用 materialize 函数

materialize() 函数允许在执行查询时缓存子查询结果。 使用 materialize() 函数时，将缓存数据，任何后续的结果调用都使用缓存数据。

let TotalEventsbyLocation = StormEvents
| summarize TotalCount = count() by Location = BeginLocation;
let materializedScope = StormEvents
| summarize by EventType, Location = EndLocation;
let cachedResult = materialize(materializedScope);
cachedResult
| project EventType, Location
| join kind = inner
(
    cachedResult
    | project EventType, Location
)
on EventType
| where Location != ""
| summarize EventCount = count() by Location
| join kind = inner
    TotalEventsbyLocation
on $left.Location == $right.Location
| project Location, EventCount, TotalCount, Percentage = EventCount * 100.0 / TotalCount

Output

使用嵌套的 let 语句

允许使用嵌套的 let 语句，包括在用户定义函数表达式中。 let 语句和自变量适用于函数主体的当前作用域和内部作用域。

let start_time = ago(5h); 
let end_time = start_time + 2h; 
T | where Time > start_time and Time < end_time | ...

带架构的表格参数

以下示例指定表参数 T 必须有一个类型为 State 的 string 列。 表 T 也可以包含其他列，但不能在函数 StateState 中引用这些列，因为未声明这些列。

let StateState=(T: (State: string)) { T | extend s_s=strcat(State, State) };
StormEvents
| invoke StateState()
| project State, s_s

Output

带通配符的表格参数

表参数 T 可以具有任何架构，函数 CountRecordsInTable 将正常工作。

let CountRecordsInTable=(T: (*)) { T | count };
StormEvents | invoke CountRecordsInTable()

Output