Query filters

Utilisez les spécifications de filtre de requête ci-dessous pour les requêtes API qui offrent des fonctionnalités de filtrage. La chaîne de filtre doit être spécifiée sous la forme d'une expression ou d'une liste d'expressions.

Expressions simples

Les filtres doivent être spécifiés selon la grammaire suivante:

Une expression a la forme générale suivante:

<expr> ::= <field> <operator> <value>

  • <field> est string. Lorsque <field> contient un espace, ou lorsque les deux-points doivent être délimités par des guillemets doubles.
  • <operator> peut être des opérateurs d'égalité ou relationnels. Il suit la spécification ci-dessous:
    L'opérateur d'égalité "=" n'est défini que pour les champs de chaîne.
    L'opérateur de correspondance de préfixe ":" n'est défini que pour les champs de chaîne.
    Les opérateurs relationnels "<" | ">" | "<=" | ">=" ne sont définis que pour les champs de code temporel.
  • Le <value> fourni doit être string, qui peut être au format Timestamp selon le <field>. Lorsque <value> contient un espace ou un signe deux-points, il doit être placé entre guillemets doubles.

Listes d'expressions

Les expressions peuvent être jointes pour former une requête plus complexe. La spécification BNF est la suivante:

<exprList> ::= <expr> |
<exprList> <conjunction> <expr> |
<negation> <expr>
<conjunction> ::= "AND" | "OR" | ""
<negation> ::= "NOT"
L'utilisation d'une chaîne vide comme conjonction agit comme un ET implicite.
La priorité des opérations de jointure, de la plus élevée à la plus basse, est NOT, AND, OR.

Exemples

Vous trouverez ci-dessous quelques exemples de filtres. Notez que les champs réellement pris en charge peuvent varier selon les versions de l'API. Pour connaître les colonnes de filtre disponibles dans v1beta1, cliquez ici.

Pour interroger toutes les alertes créées à partir du 5 avril 2018:
createTime >= "2018-04-05T00:00:00Z"

Pour interroger toutes les alertes provenant de la source "Hameçonnage dans Gmail":
source="Gmail phishing"

Pour interroger toutes les alertes d'une source commençant par "Gmail":
source:"Gmail"

Pour interroger toutes les alertes lancées en 2017:
startTime >= "2017-01-01T00:00:00Z" AND startTime < "2018-01-01T00:00:00Z"

Pour interroger toutes les alertes d'hameçonnage signalées par des utilisateurs depuis la source "Hameçonnage Gmail":
type="User reported phishing" source="Gmail phishing"