使用 let 语句

• 6 分钟

let 语句将名称绑定到表达式。 对于范围中出现了 let 语句的其余部分，名称可以引用其绑定值。 let 语句改善了模块化和重用，因为它们允许你将可能复杂的表达式分解为多个部分。 每个部分通过 let 语句绑定到名称，一起构成一个整体。 Let 语句允许创建用户定义函数和视图。 视图是结果类似于新表的表达式。

声明和重用变量

Let 语句允许创建变量以在后面的语句中使用。 此示例将创建 timeOffSet 和 discardEventId，并将其用作 SecurityEvent“where”子句的一部分。

let timeOffset = 7d;
let discardEventId = 4688;
SecurityEvent
| where TimeGenerated > ago(timeOffset*2) and TimeGenerated < ago(timeOffset)
| where EventID != discardEventId

声明 dynamic 表或列表

Let 语句允许创建 dynamic 表或列表。

let suspiciousAccounts = datatable(account: string) [
    @"\administrator", 
    @"NT AUTHORITY\SYSTEM"
];
SecurityEvent | where Account in (suspiciousAccounts)

let LowActivityAccounts =
    SecurityEvent 
    | summarize cnt = count() by Account 
    | where cnt < 1000;
LowActivityAccounts | where Account contains "SQL"