重复的JSON事件。

下载选项

  • PDF     (293.6 KB)
    在各种设备上使用 Adobe Reader 查看
  • ePub     (75.5 KB)
    在 iPhone、iPad、Android、Sony Reader 或 Windows Phone 上使用各种应用查看
  • Mobi (Kindle)     (58.7 KB)
    在 Kindle 设备上查看或在多个设备上使用 Kindle 应用查看
已更新: 2026 年 9 月 28 日
文档 ID:SPLK044482

非歧视性语言

此产品的文档集力求使用非歧视性语言。在本文档集中，非歧视性语言是指不隐含针对年龄、残障、性别、种族身份、族群身份、性取向、社会经济地位和交叉性的歧视的语言。由于产品软件的用户界面中使用的硬编码语言、基于 RFP 文档使用的语言或引用的第三方产品使用的语言，文档中可能无法确保完全使用非歧视性语言。 深入了解思科如何使用包容性语言。

关于此翻译

思科采用人工翻译与机器翻译相结合的方式将此文档翻译成不同语言，希望全球的用户都能通过各自的语言得到支持性的内容。 请注意：即使是最好的机器翻译，其准确度也不及专业翻译人员的水平。 Cisco Systems, Inc. 对于翻译的准确性不承担任何责任，并建议您总是参考英文原始文档（已提供链接）。

适用范围

Splunk企业

调查

运行btool命令并搜索属性KV_MODE和AUTO_KV_JSON分别设置为json和true时：
  
splunk btool props list --debug <my_sourcetype_name>
/opt/splunk/etc/system/default/props.conf                   ADD_EXTRA_TIME_FIELDS = True
/opt/splunk/etc/system/default/props.conf                   ANNOTATE_PUNCT = True
/opt/splunk/etc/system/default/props.conf                   AUTO_KV_JSON = True  <================
/opt/splunk/etc/system/default/props.conf                   BREAK_ONLY_BEFORE =
/opt/splunk/etc/system/default/props.conf                   BREAK_ONLY_BEFORE_DATE = True
/opt/splunk/etc/system/default/props.conf                   CHARSET = UTF-8
/opt/splunk/etc/apps/search/local/props.conf                DATETIME_CONFIG =
/opt/splunk/etc/apps/search/local/props.conf                INDEXED_EXTRACTIONS = json   <================


 

分辨率

根据文档：

"注：如果设置INDEXED_EXTRACTIONS=JSON，请检查是否尚未为同一源类型设置KV_MODE = json，这将使JSON字段在索引时提取两次，在搜索时再提取。"

因此，您需要禁用其中一个属性以停止问题。

AUTO_KV_JSON（搜索时间字段提取）
INDEXED_EXTRACTION（索引时间提取）

 
Splunk答案

为什么两次提取我的json字段？
https://answers.splunk.com/answers/174939/why-are-my-json-fields-extracted-twice.html

Splunk文档

结构化数据的Props.conf属性https://docs.splunk.com/Documentation/Splunk/8.0.0/Data/Extractfieldsfromfileswithstructureddata#Props.conf_attributes_for_structured_data default.meta.conf

https://docs.splunk.com/Documentation/Splunk/latest/Admin/Defaultmetaconf#default.meta.conf.spec props.conf.spec https://docs.splunk.com/Documentation/Splunk/8.0.0/Admin/Propsconf

修订历史记录

版本 发布日期 备注
1.0
28-Sep-2026
初始版本

此文档是否有帮助?

Feedback反馈

联系我们

本文档适用于以下产品