Splunk中隱藏欄位(fields)的做法 How to Hide fields for Splunk

在splunk表格中的每個項目稱為欄位(fields)，若獲得的結果中有不想要的欄位，或想去除的欄位可以使用fields指令將欄位去除掉，使用方法詳細如這裡( Search Reference - fields )，也可參考下圖。

今天想額外說明的是在某些情境下想保留欄位卻又在圖表中不顯現出來，像是我們在做儀表板( dsahboard )時只需要某些欄位，或是需要從跳轉( drilldown )中傳值時，需要隱藏特定欄位的話，除了利用fields語法外還利用xml中的chart設定來達成，使用方法詳細如這裡( Chart configuration reference )。

chart設定中的charting.data.fieldShowList項目或charting.data.fieldHideList項目，可以幫助我們達到目標需求，而這兩項支援的值可以是多值(array of fields )或單值，另外搭配charting.data.fieldListMode設定，預設值為hide_show。

<option name="charting.data.fieldListMode">show_hide</option>

<option name="charting.data.fieldShowList">["host","date_mday"]</option>

<option name="charting.data.fieldListMode">hide_show</option>

<option name="charting.data.fieldHideList">sourcetype</option>

另外注意這項設定只適用:線圖/區域圖/長條圖，其他圖不適用喔