append

Append 命令将子搜索的结果追加到当前搜索结果。

语法：

append [<subsearch-options> ...] <subsearch>

参数说明

必填参数：

• <subsearch>：子搜索语句，须在其中指定要追加搜索的事件来源，子搜索须放在方括号中。如：*|append maxout=5 [search sourcetype="username"]

可选参数：

• subsearch-options：

  • maxout：要从子搜索输出的结果行数，默认值是50000。

用法示例：

原始数据：

统计购买每类产品的不同客户数量，并追加统计每位客户的总消费额。

sourcetype="append" 
| stats distinct(user) by categoryId 
| append [sourcetype="append"| stats sum(total) as count by user]

结果如下：