Opérateurs de chaîne

S’applique à : ✅Microsoft Fabric✅Azure Data Explorer✅Azure Monitor✅Microsoft Sentinel

Langage de requête Kusto (KQL) offre différents opérateurs de requête pour la recherche de types de données de chaîne. L'article suivant explique comment les termes de type String sont indexés, répertorie les opérateurs de requête String, et donne des conseils pour optimiser les performances.

Présentation des termes de type String

Kusto indexe toutes les colonnes, y compris les colonnes de type string. Des index multiples sont générés pour ces colonnes, en fonction des données réelles. Ces index ne sont pas directement exposés, mais ils sont utilisés dans les requêtes avec les opérateurs string qui comportent has dans leur nom, comme has, !has, hasprefix, !hasprefix. La sémantique de ces opérateurs est dictée par la manière dont la colonne est encodée. Au lieu d'établir une correspondance standard entre substrings, ces opérateurs font correspondre des termes.

Qu'est-ce qu'un terme ?

Par défaut, chaque string valeur est divisée en séquences maximales de caractères alphanumériques, et chacune de ces séquences est transformée en terme.

Par exemple, dans la string suivante, Kusto, KustoExplorerQueryRun sont des termes, tandis que ad67d136, c1db, 4f9f, 88ef, d94f3b6b0b5a sont des substrings.

Kusto: ad67d136-c1db-4f9f-88ef-d94f3b6b0b5a;KustoExplorerQueryRun

Kusto génère un index composé de tous les termes d’au moins trois caractères, et cet index est utilisé par les opérateurs de chaîne has, !has et ainsi de suite. Si la requête recherche un terme de moins de trois caractères ou utilise un opérateur contains, elle recommence à analyser les valeurs de la colonne. L’analyse est beaucoup plus lente que la recherche du terme dans l’index des termes.

Opérateurs utilisés sur les chaînes

Les abréviations suivantes sont utilisées dans cet article :

• CD = côté droit de l'expression
• CG = côté gauche de l'expression

Les opérateurs dotés du suffixe _cs respectent la casse.

Astuces pour les performances

Pour de meilleures performances, lorsque deux opérateurs effectuent la même tâche, utilisez celui qui respecte la casse. Par exemple :

• Utiliser ==, pas =~
• Utiliser in, pas in~
• Utiliser hassuffix_cs, pas hassuffix

Pour des résultats plus rapides, si vous recherchez la présence d'un symbole ou d'un mot alphanumérique délimité par des caractères non alphanumériques, ou le début ou la fin d'un champ, utilisez has ou in. has effectue la recherche plus rapidement que contains, startswith ou endswith.

Pour rechercher des adresses IPv4 ou leurs préfixes, utilisez l’un des opérateurs spéciaux sur les adresses IPv4, qui sont optimisées à cet effet.

Pour plus d’informations, consultez Bonnes pratiques relatives aux requêtes.

Par exemple, la première de ces requêtes sera plus rapide :

StormEvents | where State has "North" | count;
StormEvents | where State contains "nor" | count

Opérateurs sur des adresses IPv4

Le groupe d’opérateurs suivant fournit une recherche accélérée par index sur les adresses IPv4 ou leurs préfixes.