Operatori di stringa

Si applica a: ✅Microsoft Fabric✅Azure Esplora dati✅ Azure Monitor✅Microsoft Sentinel

Linguaggio di query Kusto (KQL) offre vari operatori di query per la ricerca di tipi di dati stringa. L'articolo seguente descrive come vengono indicizzati i termini delle stringhe, elenca gli operatori di query di tipo stringa e fornisce suggerimenti per ottimizzare le prestazioni.

Informazioni sui termini relativi alle stringhe

Kusto indicizza tutte le colonne, incluse quelle di tipo string. Per tali colonne vengono creati più indici, in base ai dati effettivi. Questi indici non vengono esposti direttamente, ma vengono usati nelle query con gli operatori string i cui nomi includono has, ad esempio has, !has, hasprefix, !hasprefix. La semantica di questi operatori è dettata dal modo in cui viene codificata la colonna. Questi operatori non trovano una corrispondenza con sottostringhe "normali", ma piuttosto con termini.

Che cos'è un termine?

Per impostazione predefinita, ogni string valore viene suddiviso in sequenze massime di caratteri alfanumerici e ognuna di queste sequenze viene fatta in un termine.

Ad esempio, nell'oggetto string seguente i termini sono Kusto, KustoExplorerQueryRun e le sottostringhe sono ad67d136, c1db, 4f9f, 88ef, d94f3b6b0b5a.

Kusto: ad67d136-c1db-4f9f-88ef-d94f3b6b0b5a;KustoExplorerQueryRun

Kusto compila un indice di termini costituito da tutti i termini che sono tre caratteri o più e questo indice viene usato dagli operatori stringa, ad hasesempio , !hase così via. Se la query cerca un termine minore di tre caratteri o usa un contains operatore, la query ripristina l'analisi dei valori nella colonna. L'analisi è molto più lenta rispetto alla ricerca del termine nell'indice del termine.

Operatori su stringhe

In questo articolo vengono usate le abbreviazioni seguenti:

• RHS (righ hand side) = lato destro dell'espressione
• LHS (left hand side) = lato sinistro dell'espressione

Gli operatori con suffisso _cs non fanno distinzione tra maiuscole e minuscole.

Operatore	Descrizione	Distinzione maiuscole/minuscole	Esempio (restituisce true)
==	Equals	Sì	"aBc" == "aBc"
!=	Non uguale a	Sì	"abc" != "ABC"
=~	Equals	No	"abc" =~ "ABC"
!~	Non uguale a	No	"aBc" !~ "xyz"
contains	RHS si verifica come sottosequenza di LHS	No	"FabriKam" contains "BRik"
!contains	RHS non si verifica in LHS	No	"Fabrikam" !contains "xyz"
contains_cs	RHS si verifica come sottosequenza di LHS	Sì	"FabriKam" contains_cs "Kam"
!contains_cs	RHS non si verifica in LHS	Sì	"Fabrikam" !contains_cs "Kam"
endswith	RHS è una sottosequenza di chiusura di LHS	No	"Fabrikam" endswith "Kam"
!endswith	RHS non è una sottosequenza di chiusura di LHS	No	"Fabrikam" !endswith "brik"
endswith_cs	RHS è una sottosequenza di chiusura di LHS	Sì	"Fabrikam" endswith_cs "kam"
!endswith_cs	RHS non è una sottosequenza di chiusura di LHS	Sì	"Fabrikam" !endswith_cs "brik"
has	RHS (Right-Hand-Side) è un termine intero in LHS (Left-Hand-Side)	No	"North America" has "america"
!has	RHS non è un termine completo in LHS	No	"North America" !has "amer"
has_all	Uguale a has ma funziona su tutti gli elementi	No	"North and South America" has_all("south", "north")
has_any	Uguale a has ma funziona con qualsiasi elemento	No	"North America" has_any("south", "north")
has_cs	RHS è un termine intero in LHS	Sì	"North America" has_cs "America"
!has_cs	RHS non è un termine completo in LHS	Sì	"North America" !has_cs "amer"
hasprefix	RHS è un prefisso di termine in LHS	No	"North America" hasprefix "ame"
!hasprefix	RHS non è un prefisso di termine in LHS	No	"North America" !hasprefix "mer"
hasprefix_cs	RHS è un prefisso di termine in LHS	Sì	"North America" hasprefix_cs "Ame"
!hasprefix_cs	RHS non è un prefisso di termine in LHS	Sì	"North America" !hasprefix_cs "CA"
hassuffix	RHS è un suffisso di termine in LHS	No	"North America" hassuffix "ica"
!hassuffix	RHS non è un suffisso di termine in LHS	No	"North America" !hassuffix "americ"
hassuffix_cs	RHS è un suffisso di termine in LHS	Sì	"North America" hassuffix_cs "ica"
!hassuffix_cs	RHS non è un suffisso di termine in LHS	Sì	"North America" !hassuffix_cs "icA"
in	Uguale a uno qualsiasi degli elementi	Sì	"abc" in ("123", "345", "abc")
!in	Non è uguale a nessuno degli elementi	Sì	"bca" !in ("123", "345", "abc")
in~	Uguale a uno qualsiasi degli elementi	No	"Abc" in~ ("123", "345", "abc")
!in~	Non è uguale a nessuno degli elementi	No	"bCa" !in~ ("123", "345", "ABC")
matches regex	LHS contiene una corrispondenza per RHS	Sì	"Fabrikam" matches regex "b.*k"
startswith	RHS è una sottosequenza iniziale di LHS	No	"Fabrikam" startswith "fab"
!startswith	RHS non è una sottosequenza iniziale di LHS	No	"Fabrikam" !startswith "kam"
startswith_cs	RHS è una sottosequenza iniziale di LHS	Sì	"Fabrikam" startswith_cs "Fab"
!startswith_cs	RHS non è una sottosequenza iniziale di LHS	Sì	"Fabrikam" !startswith_cs "fab"

Suggerimenti per incrementare le prestazioni

Per migliorare le prestazioni, nel caso di due operatori che svolgono la stessa attività, usare quello che fa distinzione tra maiuscole e minuscole. Ad esempio:

• Usare ==, non =~
• Usare in, non in~
• Usare hassuffix_cs, non hassuffix

Per velocizzare i risultati, se si intende verificare la presenza di un simbolo o di una parola alfanumerica delimitata da caratteri non alfanumerici oppure da inizio o fine di un campo, usare has o in. has è più veloce di contains, startswith o endswith.

Per cercare indirizzi IPv4 o i relativi prefissi, usare uno degli operatori speciali sugli indirizzi IPv4, ottimizzati per questo scopo.

Per altre informazioni, vedere Procedure consigliate per le query.

Ad esempio, la prima di queste query verrà eseguita più velocemente:

Eseguire la query

StormEvents | where State has "North" | count;
StormEvents | where State contains "nor" | count

Operatori in indirizzi IPv4

Il gruppo di operatori seguente fornisce la ricerca accelerata degli indici sugli indirizzi IPv4 o sui relativi prefissi.

Operatore	Descrizione	Esempio (restituisce true)
has_ipv4	LHS contiene l'indirizzo IPv4 rappresentato da RHS	has_ipv4("Source address is 10.1.2.3:1234", "10.1.2.3")
has_ipv4_prefix	LHS contiene un indirizzo IPv4 che corrisponde a un prefisso rappresentato da RHS	has_ipv4_prefix("Source address is 10.1.2.3:1234", "10.1.2.")
has_any_ipv4	LHS contiene uno degli indirizzi IPv4 forniti da RHS	has_any_ipv4("Source address is 10.1.2.3:1234", dynamic(["10.1.2.3", "127.0.0.1"]))
has_any_ipv4_prefix	LHS contiene un indirizzo IPv4 che corrisponde a uno dei prefissi forniti da RHS	has_any_ipv4_prefix("Source address is 10.1.2.3:1234", dynamic(["10.1.2.", "127.0.0."]))