Query filters

Verwenden Sie die folgenden Abfragefilterspezifikationen in API-Anfragen, die Filterfunktionen bieten. Der Filterstring muss als Ausdruck oder als Liste von Ausdrücken angegeben werden.

Einfache Ausdrücke

Filter müssen mit der folgenden Grammatik angegeben werden:

Ein Ausdruck hat die folgende allgemeine Form:

<expr> ::= <field> <operator> <value>

  • <field> ist string. Wenn <field> ein Leerzeichen enthält oder ein Doppelpunkt in doppelte Anführungszeichen gesetzt werden muss.
  • <operator> kann ein Gleichheits- oder relationaler Operator sein und folgt der Spezifikation unten:
    Der Gleichheitsoperator "=" ist nur für Stringfelder definiert.
    Der Präfixabgleichsoperator ":" ist nur für Stringfelder definiert.
    Die relationalen Operatoren "<" | ">" | "<=" | ">=" sind nur für Zeitstempelfelder definiert.
  • Die bereitgestellte <value> sollte string sein und je nach <field> im Format Timestamp vorliegen. Wenn <value> ein Leerzeichen oder einen Doppelpunkt enthält, muss es in doppelte Anführungszeichen gesetzt werden.

Ausdruckslisten

Ausdrücke können verknüpft werden, um eine komplexere Abfrage zu bilden. Die BNF-Spezifikation lautet:

<exprList> ::= <expr> |
<exprList> <conjunction> <expr> |
<negation> <expr>
<conjunction> ::= "AND" | "OR" | ""
<negation> ::= "NOT"
Die Verwendung des leeren Strings als Konjunktion dient als implizites UND.
Bei Join-Vorgängen, von der höchsten zur niedrigsten Priorität, werden NOT, AND und OR priorisiert.

Beispiele

Im Folgenden finden Sie einige Beispielfilter. Die tatsächlich unterstützten Felder können je nach API-Version variieren. Die in v1beta1 verfügbaren Filterspalten finden Sie hier.

So fragen Sie alle Benachrichtigungen ab, die am oder nach dem 5. April 2018 erstellt wurden:
createTime >= "2018-04-05T00:00:00Z"

So fragen Sie alle Benachrichtigungen aus der Quelle „Gmail-Phishing“ ab:
source="Gmail phishing"

Abfrage aller Benachrichtigungen von einer Quelle, die mit „Gmail“ beginnt:
source:"Gmail"

So fragen Sie alle Benachrichtigungen ab, die im Jahr 2017 gestartet wurden:
startTime >= "2017-01-01T00:00:00Z" AND startTime < "2018-01-01T00:00:00Z"

So fragen Sie alle von Nutzern gemeldeten Phishing-Benachrichtigungen von der Quelle „Gmail-Phishing“ ab:
type="User reported phishing" source="Gmail phishing"