operadoresString

Aplica-se a: ✅Microsoft Fabric✅Azure Data Explorer✅Azure Monitor✅Microsoft Sentinel

O Kusto Query Language (KQL) oferece vários operadores de consulta para pesquisar tipos de dados de cadeia de caracteres. O artigo a seguir descreve como os termos de cadeia de caracteres são indexados, lista os operadores de consulta de cadeia de caracteres e fornece dicas para otimizar o desempenho.

Noções básicas de termos de cadeia de caracteres

O Azure Data Explorer indexa todas as colunas, incluindo as colunas do tipo string. Vários índices são criados para essas colunas, dependendo dos dados reais. Esses índices não são expostos diretamente, mas usados em consultas com os operadores string que têm has como parte do nome deles, como has, !has, hasprefix, !hasprefix. A semântica desses operadores é determinada pela maneira como a coluna é codificada. Em vez de fazer uma correspondência de substring "simples", esses operadores fazem a correspondência de termos.

O que é uma termo?

Por padrão, cada string valor é dividido em sequências máximas de caracteres alfanuméricos e cada uma dessas sequências é transformada em um termo.

Por exemplo, em string a seguir, os termos são Kusto, KustoExplorerQueryRun e as seguintes substrings: ad67d136, c1db, 4f9f, 88ef, d94f3b6b0b5a.

Kusto: ad67d136-c1db-4f9f-88ef-d94f3b6b0b5a;KustoExplorerQueryRun

O Kusto cria um índice de termos que consiste em todos os termos com três caracteres ou mais, e esse índice é usado por operadores de cadeia de caracteres como has, !has e assim por diante. Se a consulta procurar um termo menor que três caracteres ou usar um operador contains, ela será revertida para verificar os valores na coluna. A verificação é muito mais lenta do que pesquisar o termo no índice de termos.

Operadores em cadeias de caracteres

As seguintes abreviações são usadas neste artigo:

• RHS = lado direito da expressão
• LHS = lado esquerdo da expressão

Os operadores com um sufixo _cs diferenciam maiúsculas de minúsculas.

Dicas de desempenho

Para obter melhor desempenho, quando há dois operadores que fazem a mesma tarefa, use um que diferencie maiúsculas de minúsculas. Por exemplo:

• Use ==, não =~
• Use in, não in~
• Use hassuffix_cs, não hassuffix

Para obter resultados mais rápidos, se você estiver testando se há um símbolo ou uma palavra alfanumérica associada a caracteres não alfanuméricos ou o início ou fim de um campo, use hasou in. has funciona mais rápido que contains, startswith ou endswith.

Para pesquisar endereços IPv4 ou seus prefixos, use um dos operadores especiais em endereços IPv4, que são otimizados para essa finalidade.

Para obter mais informações, confira as Melhores práticas para consulta.

Por exemplo, a primeira destas consultas será executada mais rapidamente:

StormEvents | where State has "North" | count;
StormEvents | where State contains "nor" | count

Operadores em endereços IPv4

O grupo de operadores a seguir fornece pesquisa acelerada por índice em endereços IPv4 ou seus prefixos.