REST API不会在解析状态下完成搜索
适用范围
Splunk企业描述
根据REST API参考手册，可以使用“finalize”操作停止搜索。
在多次搜索运行时间超过24小时的环境中，REST API用于停止在如此长的时间内不会产生结果的搜索。使用的命令如下：
curl method=post uri=https://localhost:8801/services/search/jobs/$sid$/control splunkauth=true data=\"action=finalize\"
但是，此命令对大多数搜索成功，但无法停止处于解析状态的搜索。需要阻止这些进程终止OS进程。
调查
CONTROL终端接受一系列操作(暂停 | unpause |完成 |取消 |触摸 | setttl | setpriority | enablepreview |禁用预览 | setworkloadpool)最终确定：停止搜索，并向/results端点提供中间结果。
从SH引发搜索时，SH会将其解析为分散的集中式部分，这些部分稍后将发送到索引器。此时，搜索尚未生成任何结果，因此“最终确定”操作将无法提供中间结果。
但是，操作“cancel”对于解析状态下的搜索工作正常。该操作将停止搜索且不返回结果。
取消:停止当前搜索并删除结果缓存。
分辨率
对于处于解析状态的搜索，此命令将正确停止作业。curl method=post uri=https://localhost:8801/services/search/jobs/$sid$/control splunkauth=true data=\"action=cancel\"
相关链接
Splunk文档
REST API参考手册
修订历史记录
| 版本 | 发布日期 | 备注 |
|---|---|---|
1.0 |
28-Sep-2026
|
初始版本 |
反馈