如何在Splunk中转义值？

Splunk的最佳实践是使用键/值对。它还说，如果值包含空格，就用引号括起来。那么，假设我有一个原始值

Fred Smith

：

my_key=name my_value="Fred Smith"

没关系，我加了引号。但是如果我有一个原始值

“Fred Smith”

（注意已经存在的引号和开头的空格）-这将产生：

my_key=name my_value="" Fred Smith""

这将被视为：

my_key=name my_value=""
my_key=Fred my_value=Smith""

---

在Splunk值中转义引号的最佳实践是什么

如果您控制数据格式，您的选项包括：

• 在所有内容周围添加单引号
• 使用双引号，但用反斜杠转义内部引号
• 使用JSON表示数据，而不是简单的KV对字符串。JSON语法处理这种引用情况（无需添加额外的引号），此外，如果需要，还可以添加嵌套结构

---

通过设置

KV\u模式

，可以控制搜索时间字段提取行为。您可能会发现，

auto_-escape

会起到作用。请参阅Splunk Knowledge Manager手册。

您是否尝试在报价单上使用反斜杠？在搜索领域，这似乎对我有用。