搜索筛选器
安全数据湖 的搜索筛选器旨在帮助您定位特定日志信息。通过正确的搜索语法，您可以构建复杂查询，并混合其他筛选器的条件以优化结果。
您可将搜索筛选器保存为片段，通过 AND 运算符与其他筛选器或查询组合使用。搜索筛选器让您能对搜索结果执行自定义操作，从而更精准地控制搜索过程。
本文介绍如何添加搜索筛选器、创建新筛选器、保存以备后用以及与他人共享。
添加搜索筛选器
有两种方式为搜索添加筛选器：
-
从现有筛选器集合中选择
-
创建新筛选器
从现有筛选器中选择（“我的筛选器”）
-
点击 筛选器 按钮旁的文件夹图标以打开已保存筛选器列表。
-
从列表中选择一个搜索筛选器。
-
使用搜索字段查找特定的已保存搜索。
-
点击筛选器上的下拉箭头以展开筛选器详情。
-
按住 Shift 键可选择多个筛选器。
-
选择筛选器后，它将出现在搜索筛选器栏中。
创建新搜索筛选器
-
点击“+”图标打开 创建筛选器 对话框。
-
在 查询 字段中定义搜索查询以匹配所需消息。查询应使用标准查询语法。
-
（可选）为搜索筛选器添加标题和描述。此步骤虽为可选，但提供这些信息便于识别已保存的筛选器。
创建搜索筛选器时，请将筛选器保存在“我的筛选器”集合中。这些筛选器会在后续搜索中被引用，因此对它们的任何修改都会影响所有使用这些筛选器的搜索。而内联筛选器仅针对当前搜索保存，编辑时无需担心影响其他搜索。
保存带筛选器的搜索
点击 保存 按钮可保存带筛选器的搜索供将来使用。保存时，所有筛选器引用将保留。 安全数据湖 会记住查询中使用的筛选器，并在重新加载搜索时自动应用它们。
当需要快速调查偶发问题以过滤无关消息时，已保存筛选器非常有用。您可以使用已保存搜索筛选器生成针对性结果，而无需创建新查询。
共享包含筛选器的已保存搜索时，每个有权访问该搜索的用户都可以与其筛选器交互，即使这些筛选器是被引用的。
与其他用户共享筛选器（使用您自己或托管权限），允许他们直接编辑该筛选器。
共享已保存筛选器
共享搜索筛选器有助于团队协作及组织内最佳实践分享。例如，团队可能希望与其他团队共享用于故障排除的筛选器，或组织可能希望共享突出重要日志数据的筛选器供所有用户查看。
要共享已保存的搜索过滤器：
-
点击文件夹图标，选择您要共享的已保存过滤器。
-
点击所选已保存过滤器的下拉菜单，然后从选项列表中选择 共享 。
-
在弹出的窗口中，搜索并选择您要共享搜索过滤器的用户，并设置其访问级别。
-
点击 添加协作者 ，然后点击 更新共享 .
管理搜索过滤器
禁用与启用
要禁用或启用过滤器，请点击搜索过滤器标题的复选框。删除线表示过滤器已禁用。
禁用的过滤器仍保留在已保存的搜索中。
从结果中排除与包含
要从结果中排除所选搜索过滤器的搜索查询，请选择要排除的搜索过滤器，展开与该过滤器关联的下拉菜单，然后点击 从结果中排除 .
此操作会向搜索过滤器查询添加 NOT 运算符。
编辑搜索过滤器
您可以在应用搜索过滤器后对其进行编辑：
-
点击搜索过滤器名称旁边的下拉菜单中的 编辑 按钮。
编辑搜索过滤器（保存在 我的过滤器 中）会影响所有使用该过滤器的搜索。为避免这种情况，请通过勾选 为当前搜索创建副本 复选框。
-
根据需要更新查询、标题和描述。
-
点击 保存 以更新 我的筛选器 .
您还可以将已创建的内联筛选器保存至 我的筛选器 ，方法是从筛选器的下拉菜单中选择 保存到“我的筛选器” 。
该菜单中的其他操作包括：
-
移除 ：此选项会从搜索中移除筛选条件。
-
复制查询到剪贴板 ：此选项会将筛选查询复制到剪贴板。
确定搜索筛选器使用情况
了解筛选器使用信息的最佳方式是导航至 我的筛选器 页面。您可以通过选择 企业 ，然后 我的搜索筛选器 进入该页面。该页面提供了所有引用搜索筛选器的实体概览，包括已保存的搜索、仪表板小部件、事件定义和西格玛规则。您还可以在此页面查看已保存搜索筛选器的更多详情、共享、编辑或删除筛选器。
如果您尝试编辑或删除已保存的搜索查询，将弹出通知，提示您该查询正在被某个已保存的搜索引用，且对该筛选条件的更改会影响所有引用该查询的已保存搜索的搜索结果。