Query filters

Utilisez les spécifications de filtre de requête ci-dessous dans les requêtes API qui offrent des fonctionnalités de filtrage. La chaîne de filtre doit être spécifiée sous la forme d'une expression ou d'une liste d'expressions.

Expressions simples

Les filtres doivent être spécifiés selon la grammaire suivante:

Une expression se présente sous la forme générale:

<expr> ::= <field> <operator> <value>

  • <field> est string. Lorsque <field> contient un espace ou que les deux-points doivent être entourés de guillemets.
  • <operator> peut être des opérateurs d'égalité ou relationnelles, et suit la spécification comme ci-dessous:
    L'opérateur d'égalité "=" n'est défini que pour les champs de chaîne.
    L'opérateur de correspondance du préfixe ":" n'est défini que pour les champs de type chaîne.
    Les opérateurs relationnels "<" | ">" | "<=" | ">=" sont définis uniquement pour les champs d'horodatage.
  • Le <value> fourni doit être string, qui peut être au format Timestamp en fonction de <field>. Lorsque <value> contient un espace ou un signe deux-points, il doit être placé entre guillemets.

Listes d'expressions

Les expressions peuvent être jointes pour former une requête plus complexe. La spécification BNF est:

<exprList> ::= <expr> |
<exprList> <conjunction> <expr> |
<negation> <expr>
<conjunction> ::= "AND" | "OR" | ""
<negation> ::= "NOT"
L'utilisation d'une chaîne vide en tant que conjonction agit comme un opérateur ET implicite.
La priorité des opérations de jointure, de la plus élevée à la plus faible, n'est PAS ET, ET, OU.

Exemples

Vous trouverez ci-dessous quelques exemples de filtres. Notez que les champs réels compatibles peuvent varier selon les différentes versions de l'API. Pour consulter les colonnes de filtre disponibles dans v1beta1, cliquez ici.

Pour interroger toutes les alertes créées à partir du 5 avril 2018 :
createTime >= "2018-04-05T00:00:00Z"

Interroger toutes les alertes de la source "Gmail hameçonnage" :
source="Gmail phishing"

Interroger toutes les alertes provenant d'une source commençant par "Gmail" :
source:"Gmail"

Interroger toutes les alertes provenant de 2017 :
startTime >= "2017-01-01T00:00:00Z" AND startTime < "2018-01-01T00:00:00Z"

;