json - 如何在 KQL 中找到动态数组中的特定元素？

Question

如何在 KQL 中查找动态数组中的特定元素？

例如我有 json 数组(即字符串)[{"key": "foo", "val": "bar"}, {"key": "a", "val": "b"}]在KQL。现在我想查出该特性的值(value)val对于带有 "a" 的对象 key 。它可以位于任何索引处，而不仅限于索引 1就像上面的例子一样。

我找到了array_index_of功能。但它似乎不接受任何谓词，它只接受索引，而且我事先不知道我的情况下的索引。

有什么方法可以查询 JSON 数组中满足 KQL 中某些条件的项目吗？

我尝试了 mv-expand ，但它似乎将 key 分开来自val :

datatable (b: dynamic)
[
    dynamic({"key": "foo", "val": "bar"}), 
    dynamic({"key": "a", "val": "b"})
]
| mv-expand b

Answer 1

Now I want to find out the value of the property val for the objects with the "a" key.

我已在我的环境中重现，以下是预期结果:

您可以使用bag_unpack()，然后获取如下所示的值:

datatable (b: dynamic)
[
    dynamic({"key": "foo", "val": "bar"}), 
    dynamic({"key": "a", "val": "b"})
]
|evaluate bag_unpack(b)
| where key contains "a"

输出:

Fiddle .

Do you happen to know, why in my example above does it split one dynamic into two pieces? E.g. the key foo and the val bar end up in different rows.

mv-exapnd 根据逗号“,”和换行符划分动态数组，因此它会像这样划分，这是预期的行为。