后端前端AI 技能AI 插件搜索引擎【免费下载链接】clawhubSkill Plugin Registry for OpenClaw项目地址https://gitcode.com/gh_mirrors/mo/clawhub点击查看免费下载本指南围绕本仓库.agents/skills/spl-to-apl/目录下的 SPL→APL 翻译技能展开系统讲解如何将 Splunk SPL 查询逐条翻译为 Axiom APLAxiom Processing Language。你将掌握命令级stats→summarize、eval→extend、rex→parse/extract 等、函数级聚合、字符串、数学、时间、IP、JSON的等价映射理解两类查询语言在时间处理、类型系统与字符串匹配上的关键差异并借助本仓库提供的完整映射表、真实示例库与 Playground 测试用例直接上手完成 Splunk 到 Axiom 的查询迁移。一、技能是什么spl-to-apl 的能力边界本仓库的 spl-to-apl 技能主文件 定位明确将 Splunk SPL 查询翻译为 Axiom APL 查询提供命令映射command mappings、函数等价function equivalents与语法转换syntax transformations。它面向三类典型使用场景正在从 Splunk 迁移到 Axiom 的团队——需要批量改写存量查询需要把已知 SPL 写法翻译成 APL 的开发者——借助映射表减少试错想系统学习 APL 对应语法的工程师——通过对照 SPL 快速建立 APL 心智模型。值得注意的是该技能的核心定位是翻译器而非执行器它把查询转成 APL但不会直接替你执行。要实际运行翻译结果需要配置 Axiom 的 API 凭据详见下文“运行翻译后的查询”一节并且可以在 Axiom Playground 给出了更精炼的安装方式与快速参考其中命令可通过 Ampamp skill add axiomhq/skills/spl-to-apl或 npxnpx skills add axiomhq/skills -s spl-to-apl安装到 Claude Code、Cursor、Codex 等工具中。二、先理解四个关键差异Critical Differences翻译 SPL 之前必须先接受 APL 与 SPL 在设计哲学上的差异。技能文档开篇就给出了四条最重要的规则1. 时间在 APL 中是显式的SPL 的时间范围通常由搜索页面的时间选择器time picker隐式提供不会出现在查询文本中。而 APL 没有时间选择器概念必须显式写出时间过滤条件# SPL隐含最近1小时→ APL显式声明 [logs] | where _time between (ago(1h) .. now())这是一条贯穿所有翻译的总规则任何 SPL 查询翻译后都要补上时间窗否则 APL 可能扫描全量数据影响性能与结果正确性。2. 结构与数据源表达不同SPL 用index... | command表示从索引取数再接管道APL 用数据集引用取代索引SPL: indexlogs | ... APL: [logs] | ...数据集用方括号加引号引用|管道符保留但语义从“索引 → 命令”变为“数据集 → 运算符”。3. Join 是预览功能APL 的join目前是Preview预览特性存在明确限制数据量上限约50k 行仅支持inner、innerunique、leftouter三种 join 类型fullouter尚未在预览中支持见 command-mapping.md 的 Join 小节。这意味着 Splunk 中复杂的join typeouter写法没有直接对应物需要改用union或重写查询。4. cidrmatch 参数顺序反转SPL 的cidrmatch(cidr, ip)参数顺序是CIDR 网段在前、IP 在后而 APL 恰好相反SPL: cidrmatch(10.0.0.0/8, src_ip) APL: ipv4_is_in_range(src_ip, 10.0.0.0/8) # 参数顺序反转这是一个极易踩坑的细节迁移时务必逐条检查 IP 类函数。类型安全提醒Type Safety技能文档特别强调很多字段如status在 Axiom 中按字符串存储。数值比较前必须先显式转型# 错误写法status 500status 是字符串时比较结果不可靠 # 正确写法 where toint(status) 500这一点在测试用例中反复出现——test-queries.md 对sample-http-logs数据集的验证明确指出“status字段是字符串数值比较需要toint()”。而 dataset-schemas.md 给出的sample-http-logsschema 也证实了这一点name: status, type: string。三、核心命令映射表Core Command Mappings技能文档给出了一张 SPL 命令 → APL 运算符的对照表这是迁移的第一层“翻译字典”SPLAPL说明search index...[dataset]数据集取代索引search fieldvaluewhere field value显式 wherewherewhere语义一致statssummarize聚合语法不同evalextend创建/修改字段table/fieldsproject选择列fields -project-away移除列rename x as yproject-rename y x重命名字段sort/sort -order by ... asc/desc排序head Ntake N限制行数top N fieldsummarize count() by field \| top N by count_两步完成dedup fieldsummarize arg_max(_time, *) by field保留每组最新rexparse或extract()正则提取joinjoin预览功能appendunion纵向合并数据集mvexpandmv-expand展开数组timechart spanXsummarize ... by bin(_time, X)手动分桶rare N fieldsummarize count() by field \| order by count_ asc \| take N取最少的 N 个spathparse_json()或json[path]JSON 访问transaction无直接等价用summarizemake_list重构完整的命令级映射包括搜索过滤、转换、字段操作、提取、排序、连接合并、多值、时间、输出等九大类收录在 command-mapping.md本文后半部分会展开其中的重点。四、stats → summarize聚合语义迁移SPL 的stats对应 APL 的summarize。最基础的例子# SPL | stats count by status # APL | summarize count() by status注意 APL 中聚合函数必须带括号count()而不是count。核心聚合函数映射SPLAPL说明countcount()APL 必须带括号count(field)countif(isnotnull(field))非空计数dc(field)dcount(field)去重计数avg/sum/min/maxavg/sum/min/max同名保留median(field)percentile(field, 50)用百分位表达perc95(field)percentile(field, 95)百分位first/lastarg_min/arg_max(_time, field)按时间取首/末值list(field)make_list(field)收集全部值到数组values(field)make_set(field)收集去重值到数组更多细节在 function-mapping.mdrange(field)需手工写成max(field) - min(field)stdevp/varp没有总体方差版本一律用样本版stdev/variancemode用topk(field, 1)多分位数percentile(field, 50, 95, 99)对应percentiles_array(field, 50, 95, 99)速率类per_minute/per_hour需在rate(field)基础上乘以 60/3600。条件计数模式# SPL | stats count(eval(status500)) as errors by host # APL | summarize errors countif(status 500) by hostcount(eval(条件))是 SPL 中非常常见的写法对应 APL 的countif(条件)。同理SPL 的sum(eval(条件))可写为sumif(条件)。五、eval → extend字段计算迁移# SPL | eval new_field old_field * 2 # APL | extend new_field old_field * 2常用函数映射SPLAPL说明if(c, t, f)iff(c, t, f)注意 APL 是双 fcase(c1,v1,...)case(c1,v1,...,default)APL 必须带默认值len(str)strlen(str)字符串长度lower/uppertolower/toupper大小写转换substrsubstringAPL 下标从 0 开始replacereplace_string字符串替换tonumbertoint/tolong/toreal显式指定类型match(s,r)s matches regex r运算符形式split(s, d)split(s, d)同名mvjoin(mv, d)strcat_array(arr, d)数组合并为字符串mvcount(mv)array_length(arr)数组长度Case 语句模式# SPL | eval level case( status 500, error, status 400, warning, 11, ok ) # APL | extend level case( status 500, error, status 400, warning, ok )关键点SPL 用11作为兜底分支catch-all而APL 的case()强制要求最后一个参数为默认值因此 SPL 的11兜底在 APL 中变成隐式默认值直接写ok即可。若 status 是字符串字段还应写toint(status) 500。字符串、数学、时间与多值函数速查字符串ltrim/rtrim→trim_start/trim_end正则替换replace(str, regex, new)→replace_regex(str, regex, new)urldecode→url_decodeprintf无对应用strcattostring拼装。数学ln(x)→log(x)random()→rand()标量min/max→min_of/max_ofceil→ceiling。类型转换isnum(val)用isnan(toreal(val))判断isstr(val)用gettype(val) stringtypeof→gettype。多值mvindex(mv, idx)→arr[idx]0 基索引切片mvindex(mv, s, e)→array_slice(arr, s, e)mvappend→array_concatmvsort→array_sort_ascmvrange→range(start, end, step)。时间strftime(_time, %Y)→getyear(_time)%m→getmonth%d→dayofmonth%H→hourofday整串格式化用tostring(_time)返回 ISO 格式relative_time(now(), d)→startofday(now())。APL没有format_datetime需要拼串时参考 axiom-sre 的 APL 函数参考 中datetime_partstrcatiff的补零写法。六、rex → parse / extract正则提取迁移正则模式命名捕获组# SPL | rex fieldmessage user(?username\w) # APL - parse 的正则模式注意命名组语法 ?PnamePython 风格 | parse kindregex message with user(?Pusername\w) # APL - extract 函数一次一个字段 | extend username extract(user(\\w), 1, message)简单模式非正则SPL 的rex即便在纯字面量路径提取时也写正则而 APL 的parse支持字面量模板解析更简洁高效# SPL | rex fielduri ^/api/(?versionv\d)/(?endpoint\w) # APL | parse uri with /api/ version / endpointexamples.md 中还有一个多字段组合示例rex fieldmessage user(?username\w) action(?action\w) duration(?dur\d)ms翻译为三条extract()并建议对dur顺手做toint()转型再project输出。JSON 提取# SPL | spath inputpayload pathuser.id outputuser_id # APLpayload 已是对象 | extend user_id payload[user][id] # APLpayload 是 JSON 字符串 | extend user_id parse_json(payload)[user][id]注意parse_json()开销较大apl-functions.md 标注为 expensive能直接下标访问就优先下标访问。七、时间处理Time Handling显式时间范围# SPL时间选择器Last 24 hours indexlogs # APL [logs] | where _time between (ago(24h) .. now())between (ago(1h) .. now())是 APL 的标准写法ago()支持1s/1m/1h/1d/1w等时间字面量也可以写成固定时刻between (datetime(2024-01-15T14:00:00Z) .. datetime(2024-01-15T15:00:00Z))见 axiom-sre 的 APL 参考。Timechart 翻译# SPL | timechart span5m count by status # APL | summarize count() by bin(_time, 5m), statustimechart spanX翻译为summarize ... by bin(_time, X)即手动分桶。多指标场景如 p50/p95/p99 趋势可写成summarize p50 percentile(response_time, 50), p95 ..., p99 ... by bin(_time, 1m)。八、常见查询模式翻译Common Patterns错误率计算# SPL | stats count(eval(status500)) as errors, count as total by host | eval error_rate errors/total*100 # APL | summarize errors countif(status 500), total count() by host | extend error_rate toreal(errors) / total * 100注意两点countif承接条件计数错误率除法前用toreal()显式转浮点避免整数除法丢精度。子查询Subsearch# SPL indexlogs [search indexerrors | fields user_id | format] # APL let error_users [errors] | where _time between (ago(1h) .. now()) | distinct user_id; [logs] | where _time between (ago(1h) .. now()) | where user_id in (error_users)APL 用let语句把子查询结果绑定为变量再用in (error_users)过滤主查询。这是 SPL 子搜索最自然的对应物。数据集连接Join# SPL | join user_id [search indexusers | fields user_id, name] # APL | join kindinner ([users] | project user_id, name) on user_id左连接用kindleftouter。再次提醒join 是预览功能上限约 50k 行且仅 inner/innerunique/leftouter。Transaction 式分组无直接等价SPL 的transaction用事件会话概念把相关事件聚成事务。APL 没有直接等价需要手工重构# SPL | transaction session_id maxspan30m # APL无直接等价——用 summarize 重构 | summarize start_time min(_time), end_time max(_time), events make_list(pack(time, _time, action, action)), duration max(_time) - min(_time) by session_id | where duration 30m用make_list(pack(...))保留事件明细用min/max(_time)计算起止与时长再以where duration 30m模拟maxspan。九、字符串匹配性能String Matching PerformanceSPL 自由文本检索的写法在 APL 中有明确的开销梯度文档按性能从快到慢给出了对照SPLAPL速度fieldvaluefield value最快field*value*field contains value中等fieldvalue*field startswith value快match(field, regex)field matches regex ...最慢两个优化原则在 axiom-sre 的 APL 参考 中有更完整的运算符表佐证优先用has而非containshas做词边界匹配比子串匹配更快用_cs后缀版本如has_cs、startswith_cs、contains_cs大小写敏感匹配更快。性能梯度示例# 快精确匹配 | where status 500 # 快词边界大小写敏感 | where message has_cs error # 中等子串 | where message contains timeout # 最慢尽量避免 | where message matches regex .*error.*十、更多命令排序、去重、多值与无等价命令排序与去重sort field→order by field ascsort -field→order by field desc多字段sort field1, -field2→order by field1 asc, field2 desc。去重的两种方向# SPL: 保留最新一条先按时间降序再 dedup | sort - _time | dedup user_id # APL | summarize arg_max(_time, *) by user_id # SPL: 保留最早一条 | sort _time | dedup user_id # APL | summarize arg_min(_time, *) by user_id多值multivaluemvexpand tags→mv-expand tagsmakemv delim,→split(field, ,)mvcombine→summarize make_list(field) by ...nomv→strcat_array(field, , )。无直接等价的命令command-mapping.md 整理了 SPL 命令中没有直接对应物的一批需要绕行方案SPL 命令替代方案transactionsummarizemake_list()min()/max()cluster手工分组或外部聚类anomalydetectionspotlight()相关分析predict外部 ML/预测geostatsgeo_info_from_ip_address()summarizeiplocationextend geo geo_info_from_ip_address(ip)inputlookupdatatable内联数据makeresultsdatatable或printeventstats子查询聚合后join kindleftouterstreamstats无直接等价用summarize 分桶近似十一、运行翻译后的查询环境配置与验证配置 Axiom 凭据技能只负责翻译不负责执行。运行翻译结果需要配置~/.axiom.tomlREADME.md 提供了模板[deployments.prod] url https://api.axiom.co token xaat-your-api-token org_id your-org-idorg_id从 Axiom 控制台的Settings → Organization获取token建议创建scoped API tokenSettings → API Tokens按工作流所需最小权限授予自动化工具避免使用 Personal Access Token。用 Playground 验证仓库提供了可直接复现的测试用例集 test-queries.md覆盖sample-http-logs与otel-demo-traces两个 Axiom Playground 数据集共 9 个用例且均已验证通过验证日期 2026-01-20流程是加载技能 → 翻译 SPL → 在 Playground 运行 APL → 确认无错误返回。其中两个高价值用例用例 3错误率随时间变化注意toint陷阱[sample-http-logs] | where _time between (ago(1h) .. now()) | summarize errors countif(toint(status) 500), total count() by bin(_time, 5m) | extend error_rate toreal(errors) / total * 100用例 5地理分布利用预计算字段[sample-http-logs] | where _time between (ago(1h) .. now()) | summarize count() by [geo.country], [geo.city] | order by count_ desc | take 20sample-http-logs已预计算geo.country/geo.city字段见 dataset-schemas.md 的 schemaname: geo.city, type: string直接用带方括号转义的[geo.country]引用即可若数据集只有原始 IP则改用geo_info_from_ip_address(clientip)查地理信息。值得注意的字段引用规则带点的字段如geo.country、service.name必须用方括号[geo.country]引用特殊字符字段.,/,-混入字段名如kubernetes.node_labels.karpenter\.sh/nodepool需要双重转义[field.name\\.with\\dots]相关细节在 axiom-sre 的 APL 参考 中有完整示例。十二、迁移工作流建议与参考索引一次完整的 SPL→APL 迁移可以按如下顺序推进读主映射表command-mapping.md命令级与 function-mapping.md函数级确认目标语句没有“无等价命令”补时间窗为每条查询追加where _time between (ago(...) .. now())查类型对照数据集 schemadataset-schemas.md对字符串型数值字段如status补toint()/toreal()做性能取舍字符串过滤优先/has/_cs系列避免matches regex在 Playground 验证按 test-queries.md 的方式逐条跑通需要执行能力时配合本仓库的axiom-sre技能含scripts/axiom-query等工具运行翻译结果或参考building-dashboards技能将查询落成看板。本技能目录下还沉淀了更完整的参考文档供后续深挖examples.md 收录了从基础搜索、聚合、时间序列、字段提取、条件逻辑、连接、去重、多值、事务重构、IP/Geo 分析到安全与性能分析的十余组真实翻译对是进阶迁移最重要的案例库。其“全分析管道”示例SPL 的 rex eval stats eval where sort head 七段管道对应 APL 的 parse summarize extend where order by take堪称迁移模板值得通读一遍。赞分享后端前端AI 技能AI 插件搜索引擎【免费下载链接】clawhubSkill Plugin Registry for OpenClaw项目地址https://gitcode.com/gh_mirrors/mo/clawhub点击查看免费下载相关推荐SPL 到 APL 查询翻译实战指南从 Splunk 迁移到 Axiom 的完整示例手册SPL 到 APL 查询翻译实战指南从 Splunk 迁移到 Axiom 的完整示例手册 本篇指南以 Axiom 的 spl to apl 技能所维护的真实翻后端前端AI 技能AI 插件搜索引擎Splunk SPL 到 Axiom APL 命令映射完整指南从迁移查询到逐条对照Splunk SPL 到 Axiom APL 命令映射完整指南从迁移查询到逐条对照 本篇技术指南以开源仓库 clawhub 中内置的 spl to apl 技后端前端AI 技能AI 插件搜索引擎spl-to-apl 技能迭代实录如何让 Agent 在 SPL→APL 翻译前真正读取数据集 Schemaspl to apl 技能迭代实录如何让 Agent 在 SPL→APL 翻译前真正读取数据集 Schema 本文基于仓库中 spl to apl 技能的设计后端前端AI 技能AI 插件搜索引擎上一篇如何在GitHub Actions中高效下载构建产物download-artifact快速上手指南下一篇pg_activity配置文件详解打造个性化监控界面的完整教程创作声明：本文部分内容由AI辅助生成（AIGC），仅供参考