共用方式為

使用條件產生器在電子檔探索 (預覽) 中建立搜尋查詢

  • 發行項

當您在電子檔探索 (預覽) 中建置搜尋查詢時，條件產生器會提供易於使用的搜尋體驗。 在搜尋和檢閱集合中使用條件產生器來建構簡單且複雜的關鍵詞查詢、使用運算符 (AND 的查詢、OR) ，或兩者皆可協助識別組織中的專案。

提示

開始使用 Microsoft Security Copilot，探索使用 AI 功能來更聰明且更快速地工作的新方式。 深入瞭解 Microsoft Purview 中的 Microsoft Security Copilot。

使用條件產生器

若要建立搜尋的查詢和自定義條件式篩選，請使用下列控件：

  • 關鍵詞：此常見條件一律可作為查詢中的第一個條件，並可協助您快速開始進行搜尋工作。 關鍵詞條件只支援 Equal 運算子，而且可以將值欄位保留空白，以從查詢中排除。 若要新增其他 關鍵詞 條件，請選取 [ 新增條件 ]，然後選取 [關鍵詞]。
  • 新增條件：可讓您為搜尋新增特定數據源的條件。 若要將其他條件新增至查詢，請選取 [ 新增條件 ] 以顯示可用條件的清單。 每個條件值選取都會將新條件新增至您的查詢。 視需要選擇 AND/OR 運算元。
  • AND/OR：這些條件式邏輯運算符可讓您選取套用至特定條件的查詢作業。 這些運算子可讓您使用連線到查詢的多個條件。
  • 選取運算符：根據選取的條件，可以選取與條件相容的運算符。 例如，如果選取 [日期 ] 條件，則可用的運算符為 Before、 After 和 Between。 如果選取 [大小 (位元組) 條件，則可用的運算符為 [大於]、[ 大於] 或 [等於]、[ 小於]、 [小於] 或 [等於]、[ 介於] 和 [ 等於]。
  • 值：視選取的條件而定，與條件相容的值可在 [值詳細數據] 窗格中取得，或者您可以內嵌新增。 根據與值相關聯的條件類型，您會看到定義、篩選或搜尋與所選條件相關聯之值的選項。 例如，如果您選取 [ 寄件者 ] 作為條件，您可以在組織或外部使用者中搜尋並新增特定使用者。 如果您選 取 [大小 (位元組) 作為條件，您會看到輸入大小數位做為值的選項。 如果值為空白，值字段框線會以紅色顯示，以協助通知您需要值。
  • 拿掉篩選條件：若要移除個別條件，請選取每個篩選條件行右邊的移除圖示。
  • 另存為草稿：若要將目前的條件集儲存為草稿，請從查詢下拉式清單中選取 [另 存為草稿 ]。
  • 捨棄：若要捨棄對搜尋所做的任何變更，包括條件和數據源，請從 [另存新檔] 下拉式清單中選取 [捨棄]。

使用條件的指導方針

使用搜尋條件時，請記住下列事項。

  • 條件會以邏輯方式連接到關鍵詞查詢， (由 AND 和 OR 運算子所) 的關鍵詞方塊中指定。 這表示結果中包含的項目必須同時滿足關鍵字查詢與條件。
  • 如果您將兩個或多個唯一條件新增至搜尋查詢， (指定不同屬性) 的條件， 則這些 條件會以邏輯方式由 AND 和 OR 運算符連接。 這表示只會傳回除了任何關鍵詞查詢) 之外，滿足所有條件 (的專案。
  • 如果您為相同的屬性新增多個條件，則 OR 運算 符會以邏輯方式連接這些條件。 這表示會傳回滿足關鍵詞查詢和任何一個條件的專案。 因此，OR 運算符會 將相同條件的群組彼此連接，然後 AND 運算符會連接一組唯一條件。
  • 如果您將多個值 (以逗號或分號分隔) 加入至單一條件，這些值會以 OR 運算子連接。 這表示如果項目在條件中包含任何指定的屬性值，則會傳回項目。
  • 使用具有 Contains 和 Equals 邏輯之運算符的任何條件，都會針對簡單的字串搜尋傳回類似的搜尋結果。 簡單字串搜尋是條件中的字串，不包含通配符) 。 例如，使用 Equals any 的條件會傳回與使用 Contains any 之條件相同的專案。
  • 使用關鍵詞方塊和條件所建立的搜尋查詢會顯示在 [ 搜尋 ] 頁面上所選搜尋的詳細數據窗格中。 在查詢中，表示法 (c:c) 右邊的所有項目都會指出加入查詢的條件。 (c:c) 不應用於手動輸入的查詢，且不等於 AND 或 OR。
  • 條件只會將屬性新增至搜尋查詢;它們不會新增運算符。 這就是為什麼詳細數據窗格中顯示的查詢不會在表示法的 (c:c) 右邊顯示運算元。 KQL 會根據執行查詢時) 先前說明的規則，新增邏輯運算子 (。
  • 您可以使用拖放控件來重新排序條件的順序。 選取條件的控件，並將它向上或向下移動。
  • 某些條件屬性可讓您輸入多個值， (以分號分隔) 。 OR 運算子會 以邏輯方式連接每個值，並產生查詢 (filetype=docx) OR (filetype=pptx) OR (filetype=xlsx)。 下圖顯示具有多個值的條件範例。

尋找和選取條件

當您在條件產生器中選取 [ 新增條件 ] 時，會顯示 [ 選擇要新增哪些條件 ] 飛出視窗窗格，以協助您使用特定條件來精簡搜尋查詢。 使用下列各節中的選項，協助您選擇適用的條件：

依區域篩選條件

快速篩選信箱和網站屬性的條件檢視，以協助找出搜尋查詢的特定條件。 篩選下列全域群組中的可用條件：

  • 全部：顯示所有條件和條件群組。
  • 一般：篩選並只顯示同時套用至信箱和網站的條件。
  • Exchange 信箱：篩選並只顯示套用至信箱的條件。
  • SharePoint 和 OneDrive 網站：篩選並只顯示適用於 SharePoint 和 OneDrive 網站的條件。

條件選擇器

若要快速搜尋特定條件，請使用 [告訴我們您要尋找的專案 ] 字段來輸入條件的名稱。 結果會自動限定在全域群組的篩選範圍。 例如，若要搜尋任何名為 Type 的條件 (或條件名稱中包含字詞類型的條件) ，請選取 [全部] 作為全域篩選條件，然後在 [告訴我們您要尋找的專案] 欄位中輸入類型。 條件檢視會傳回所有條件群組中包含字詞 類型的所有條件。 選取要新增至搜尋查詢的適用條件。

條件選擇器範例。

案例範例

電子檔探索系統管理員必須建立查詢，以尋找從 User1 傳送至 User4 的電子郵件，這些電子郵件是在 2024 年 9 月 15 日到 2024 年 10 月 15 日之間傳送，其中包含關鍵詞合規性和稽核。 在這裡範例中，系統管理員會使用新的查詢產生器建立下列查詢：

  1. 針對第一個篩選條件，系統管理員會使用 關鍵詞 條件、 Equal 運算 符和 合規性， 稽核作為關鍵詞 Value。
  2. 接下來，系統管理員選取 [新增條件]，選取 [傳送者]，然後選取 [包含任何運算符]，然後從 [值詳細數據] 窗格中可用的使用者清單中選取 [User1]。 這可能包括外部使用者。
  3. 接下來，系統管理員選取 [新增條件]，選取 [要篩選]，然後選取 [包含任何運算符]，然後從 [值詳細數據] 窗格中可用的使用者清單中選取 [User4]。 這可能包括外部使用者。
  4. 若要定義日期範圍，系統管理員會選取 [ 新增條件]、選取 [ 日期]，然後選取 [ Between ] 運算符，然後選取 [值] 的開始和結束日期。
  5. 最後，系統管理員選取 [ 執行查詢 ] 以傳回適用的結果。

條件產生器範例。

使用搜尋條件

您可以將條件新增至搜尋查詢，以縮小搜尋範圍，並傳回一組更精簡的結果。 每個條件會將一個子句新增至 KQL 搜尋查詢，當您啟動搜尋時便會建立並執行。

特殊字元

某些特殊字元不會包含在搜尋索引中，因此無法搜尋。 這也包括代表搜尋查詢中搜尋運算元的特殊字元。 以下是特殊字元的清單，這些字元會由實際搜尋查詢中的空白空間取代，或是造成搜尋錯誤。

+ - = : ! @ # % ^ & ; _ / ? ( ) [ ] { }

一般屬性的條件

在相同搜尋中搜尋信箱和網站時，使用一般屬性建立條件。 下表列出新增條件時要使用的可用屬性。

條件 描述
內容種類 套用至 Exchange 和 SharePoint 專案時，會參考內容的類型或類別。

例如， ContentKind：SharePointDocument、 ContentKind：Copilot 等。
內容來源應用程式 識別內容的來源應用程式或服務。

例如， ContentSourceApplication：OneDriveForBusiness、 ContentSourceApplication：SharePoint 等。
Date 針對電子郵件，這是從 PST 檔案建立或匯入訊息的日期。 若為檔，則為上次修改檔的日期。

如果您要搜尋特定時段的電子郵件訊息，如果您不確定是否已匯入電子郵件訊息，而不是在 Exchange 中原生建立，則應該使用 [ 已接收 ] 和 [ 已傳送 ] 條件訊息。
識別碼 針對電子郵件，為特定訊息的標識碼。 訊息標識 碼包含在稽核記錄、數據外洩防護 (DLP) 警示，或檢閱集元數據，並可讓您建立個別訊息的特定搜尋。

針對Microsoft Teams訊息、聊天或響應的標識碼。 ChatThreadID 包含在稽核記錄中、數據外洩防護 (DLP) 警示，或檢閱集元數據，並可讓您建立個別聊天或反應的特定搜尋。
寄件者/作者 對於電子郵件，則為傳送郵件的人員。 若為檔，則為 Office 檔中作者欄位中所引用的人員。 您可以輸入多個名稱，並以逗號分隔。 OR 運算符會 以邏輯方式連接兩個或多個值。
(請參閱收件者擴 充)
(位元組) 的大小 針對電子郵件和檔，專案大小 (位元組) 。
主旨/標題 若為電子郵件，則為郵件主旨行中的文字。 針對檔，為文件的標題。 Title 屬性是 Office 檔Microsoft指定的元數據。 您可以輸入多個主旨/標題值的名稱，並以逗號分隔。 OR 運算符會 以邏輯方式連接兩個或多個值。

注意：請勿在此條件的值中包含雙引號，因為使用此搜尋條件時會自動新增引號。 如果您將引號新增至值，則會將兩對雙引號新增至條件值，而搜尋查詢會傳回錯誤。
保留標籤 針對電子郵件和檔，保留標籤會套用至郵件和檔。 保留標籤可用來宣告記錄，並藉由強制執行標籤所指定的保留和刪除規則，協助您管理內容的數據生命週期。 如需保留標籤的詳細資訊，請 參閱瞭解保留原則和保留標籤。
SIT) (敏感性資訊類型 針對電子郵件和檔，訊息和檔中包含敏感性信息類型。 SIT 是以模式為基礎的分類器，可偵測社會安全、信用卡或銀行帳戶號碼等敏感性資訊，以識別敏感性專案。 如需 SIT 的詳細資訊，請 參閱瞭解敏感性資訊類型。
敏感度標籤 針對電子郵件和檔，敏感度標籤會套用至訊息和檔。 敏感度標籤可讓您分類及保護組織的數據，同時確保用戶生產力及其共同作業能力不會受到阻礙。 如需敏感度標籤的詳細資訊，請參 閱瞭解敏感度標籤。

郵件屬性的條件

在 Exchange Online 中搜尋信箱或公用資料夾時，使用郵件屬性建立條件。 下表列出可用於條件的電子郵件屬性。 這些屬性是先前所述電子郵件屬性的子集。 為了方便起見，會重複這些描述。

條件 描述
訊息種類 要搜尋的訊息類型。 這是與 Kind email 屬性相同的屬性。 可能的值：
  • 連絡人
  • 文件
  • 電子郵件
  • externaldata
  • 傳真
  • 我
  • 期刊
  • 會議
  • microsoftteams
  • 筆記
  • 職位
  • rssfeeds
  • 工作
  • 語音信箱
參與者 電子郵件訊息中的所有人員欄位。 這些欄位為From、To、Cc和 Bcc。 (請參閱收件者擴 充)
Received 收件者收到電子郵件訊息的日期。 這是與 Received 電子郵件屬性相同的屬性。
收件者 電子郵件訊息中的所有收件者欄位。 這些欄位為 [至]、[副本] 和 [密件抄送]。 (請參閱收件者擴 充)
寄件者 電子郵件訊息的寄件者。
寄件日期 寄件者傳送電子郵件訊息的日期。 這是與 Sent 電子郵件屬性相同的屬性。
主旨 電子郵件訊息主旨行中的文字。

注意：請勿在此條件的值中包含雙引號，因為使用此搜尋條件時會自動新增引號。 如果您將引號新增至值，則會將兩對雙引號新增至條件值，而搜尋查詢會傳回錯誤。
收件者 [收件者] 欄位中電子郵件訊息的收件者。
主題 電子郵件對話或交談中討論的主要主旨或主題摘要。
類型 電子郵件專案的郵件類別屬性。 這是與 ItemClass 電子郵件屬性相同的屬性。 這也是多重值條件。 因此，若要選取多個訊息類別，請按 住 CTRL 鍵，然後在下拉式清單中選取您要新增至條件的兩個或多個訊息類別。 您在清單中選取的每個訊息類別，都會由對應搜尋查詢中的 OR 運算符以邏輯方式連接。

如需 Exchange 所使用的訊息類別 (及其對應訊息類別識別碼) 清單，以及您可以在 [訊息類別 ] 清單中選取的訊息類別清單，請參閱 專案類型和訊息類別。

檔屬性的條件

在 SharePoint 和 OneDrive 網站上搜尋檔時，使用文檔屬性建立條件。 下表列出可用於條件的文件屬性。 這些屬性是先前描述的網站屬性子集。 為了方便起見，會重複這些描述。

條件 描述
作者 Office 檔中的作者欄位，如果複製檔，則會保存此欄位。 例如，如果使用者建立檔，並將它傳送給其他人，然後將它上傳至 SharePoint，則檔仍會保留原始作者。
已建立 檔的建立日期。
檔案類型 檔案的擴展名;例如，docx、one、pptx 或 xlsx。 這是與 FileExtension 網站屬性相同的屬性。

注意： 如果您在搜尋查詢中包含使用 Equals 或 Equals 任 一運算符的檔案類型條件，則無法在檔案類型結尾包含通配符 ( * ) ，以使用前置詞搜尋 (，) 傳回檔類型的所有版本。 如果您這樣做，則會忽略通配符。 例如，如果您包含條件 Equals any of doc*，則只會傳回擴展名為 的 .doc 檔案。 不會傳回擴展名為的 .docx 檔案。 若要傳回檔類型的所有版本，請在關鍵詞查詢中使用 property：value 組;例如， filetype:doc*。
上次修改日期 檔上次變更的日期。
路徑 SharePoint 網站內檔案或資料夾的URL或位置。
標題 檔的標題。 Title 屬性是 Office 檔中指定的元數據。 它與文件的檔名不同。

與條件搭配使用的運算符

當您新增條件時，可以選取與條件的屬性類型相關的運算符。 下表描述與條件搭配使用的運算符，並列出搜尋查詢中使用的對等運算符。

運算子 查詢對等專案 描述
之後 property>date 搭配日期條件使用。 傳回在指定日期之後傳送、接收或修改的專案。
之前 property<date 搭配日期條件使用。 傳回在指定日期之前傳送、接收或修改的專案。
之間 date..date 搭配日期和大小條件使用。 搭配日期條件使用時，傳回指定日期範圍內已傳送、接收或修改的專案。 搭配大小條件使用時，傳回大小在指定範圍內的專案。
包含任何一個 (property:value) OR (property:value) 與指定字串值之屬性的條件搭配使用。 傳回包含一或多個指定字串值之任何部分的專案。
不包含任何 -property:value

NOT property:value

 與指定字串值之屬性的條件搭配使用。 傳回不包含指定字串值任何部分的專案。
不等於任何 -property=value

NOT property=value

 與指定字串值之屬性的條件搭配使用。 傳回不包含特定字串的專案。
等於 size=value 傳回等於指定大小的專案。1
等於任何 (property=value) OR (property=value) 與指定字串值之屬性的條件搭配使用。 傳回符合一或多個指定字串值的專案。
大 size>value 傳回指定屬性大於指定值的專案。1
大於或等於 size>=value 傳回指定屬性大於或等於指定值的專案。1
少 size<value 傳回大於或等於特定值的專案。1
小於或等於 size<=value 傳回大於或等於特定值的專案。1
不等於 size<>value 傳回不等於指定大小的專案。1

注意事項

1 此運算子僅適用於使用 Size 屬性的條件。