Json 从Splunk REST API获取聚合结果而不是事件

按天查询一组事件的Splunk API时遇到问题。我的目标是为一组服务器日志返回带有七天事件计数（印象和唯一性）的JSON。搜索结果如下：

index=assets_index gid=30 | timechart count(clientip) AS Impressions dc(clientip) AS Uniques

当我运行此搜索并在终端中获取结果时：

curl -u admin:ourpass -k https://ourserver.com:8089/services/search/jobs -d"search=search index=assets_index gid=30 | timechart count(clientip) AS Impressions dc(clientip) AS Uniques"
curl -u admin:ourpass \
     -k https://ourserver.com:8089/services/search/jobs/1357597855.2304/results/ \
     --get -d output_mode=json

---

我从搜索中获取原始事件，而不是结果（在Web搜索应用程序中运行此操作将返回我想要的结果）。我确信有一种简单的方法可以请求结果，从而使它起作用，但我找不到它。救命。

你很接近。。。只是您传递参数的方式是错误的。每个请求参数都应该使用-d标志单独传递，并且参数值需要进行URL编码。试试这个，看看它是否适合你：

curl-u管理员：ourpass-khttps://ourserver.com:8089/services/search/jobs -d search=“搜索索引%3Dassets\u索引gid%3D30 |时间图表计数（clientip）作为唯一性的印象dc（clientip）

”

不确定你的webapp使用哪种语言，Splunk也有多种语言。通过SDK，让他们处理与Splunk的对话可能更容易