awkを使用して同じファイルの行パターンを比較する方法

Question 1

ファイルに3行のウィンドウを保持し、最後のパターンが見つかるたびに現在と最後の2行をテストできます。

BEGIN {
    FS = "|"
    text[2] = "user logged in"
    text[1] = "user changed password"
    text[0] = "user logged off"
}
    
$5 == text[0] && action[1] == text[1] && action[2] == text[2] &&
$3 == user[1] && $1 == time[1] && $3 == user[2] && $1 == time[2] {
    print $3
}
    
{
    time[2] = time[1]; user[2] = user[1]; action[2] = action[1]
    time[1] = $1; user[1] = $3; action[1] = $5
}

使用法:

$ awk -f tst.awk file
fxsciaqulmlk
erdsfsdfsdf
fxsciaqulmla

このBEGINグループは、最初の行を解析する前に実行され、FSフィールド区切り文字です。
2番目のグループは条件付きで印刷ユーザーと一致します。スパゲッティに似ていますが動作します。awk最初のエラーが見つかった場合は、各セクションの評価が停止されるため、順序が重要です。したがって、まずその行に「ログアウト」が含まれているかどうかをテストし、最初の2行に別のタスクが含まれているかどうかをテストします。
最後のグループは3行のウィンドウを予約するために使用されます。ハッシュのある変数は[1]最後の行を意味し、ハッシュのある変数は[2]2番目から最後の行を意味します。
注：初期化されていないすべての変数は、空の文字列（または数値0、型が緩い）として扱われます。また、awk配列は連想配列であり、1ここでは2ハッシュ値です。

最初の数行について、さらに異なるテストをしたい場合は、スケルトンは次のようになります。

condition_for_last_row {
    for (i=1;i<=2;i++) {
        n = split(prev[i],arr)
        # do comparisons here, arr[1] to arr[n] are
        # the fields of the i-th previous row
    }
}

{
    prev[2] = prev[1]
    prev[1] = $0
}

Answer

ファイルに3行のウィンドウを保持し、最後のパターンが見つかるたびに現在と最後の2行をテストできます。

BEGIN {
    FS = "|"
    text[2] = "user logged in"
    text[1] = "user changed password"
    text[0] = "user logged off"
}
    
$5 == text[0] && action[1] == text[1] && action[2] == text[2] &&
$3 == user[1] && $1 == time[1] && $3 == user[2] && $1 == time[2] {
    print $3
}
    
{
    time[2] = time[1]; user[2] = user[1]; action[2] = action[1]
    time[1] = $1; user[1] = $3; action[1] = $5
}

使用法:

$ awk -f tst.awk file
fxsciaqulmlk
erdsfsdfsdf
fxsciaqulmla

このBEGINグループは、最初の行を解析する前に実行され、FSフィールド区切り文字です。
2番目のグループは条件付きで印刷ユーザーと一致します。スパゲッティに似ていますが動作します。awk最初のエラーが見つかった場合は、各セクションの評価が停止されるため、順序が重要です。したがって、まずその行に「ログアウト」が含まれているかどうかをテストし、最初の2行に別のタスクが含まれているかどうかをテストします。
最後のグループは3行のウィンドウを予約するために使用されます。ハッシュのある変数は[1]最後の行を意味し、ハッシュのある変数は[2]2番目から最後の行を意味します。
注：初期化されていないすべての変数は、空の文字列（または数値0、型が緩い）として扱われます。また、awk配列は連想配列であり、1ここでは2ハッシュ値です。

最初の数行について、さらに異なるテストをしたい場合は、スケルトンは次のようになります。

condition_for_last_row {
    for (i=1;i<=2;i++) {
        n = split(prev[i],arr)
        # do comparisons here, arr[1] to arr[n] are
        # the fields of the i-th previous row
    }
}

{
    prev[2] = prev[1]
    prev[1] = $0
}

Question 2

awkの代わりにPerlを使用することは、主にstr2time()Date :: Parseモジュールの機能を容易にするためのものです。

$ perl -MDate::Parse -F'\|' -lane '
  if    (/user logged in/)        { $event{$F[2]}{login}  = str2time($F[0]) }

  elsif (/user changed password/) { $event{$F[2]}{passwd} = str2time($F[0]) }

  elsif (/user logged off/ &&
         defined($event{$F[2]}{login})  && 
         defined($event{$F[2]}{passwd}) &&
         (str2time($F[0]) - $event{$F[2]}{login} <= 1)) { print $F[2]; delete $event{$F[2]} }

  else { delete $event{$F[2]} }' input.log 
fxsciaqulmlk
erdsfsdfsdf
fxsciaqulmla

このPerlワンライナーは日付::分析モジュール時間の日付コレクションは日付フィールドをtime_t値（1970年1月1日真夜中の新起源以降の秒）に変換します。

このオプションはperlに各行を印刷せずに入力を繰り返し（sオプション-nと同様）、各入力行を自動的に配列に分割するように指示します（andオプションを使用すると、perlが各行を自動的に分割するawkと同様に動作します）。）$ 1、$ 2、$ 3などの行を入力します。）このオプションは、Perlに入力と出力の行末の改行を自動的に処理するように指示します。sed-n@F-a-F'\|'-l

スクリプトは、ログインしてパスワードを変更するユーザーと、これらのイベントがハッシュ（連想配列）で発生したタイミングを追跡します%events。％eventsは実際にはHash-of-Hashesです（HoH、詳細についてはPerl Data Structures Cookbookを参照してください。参考資料を参照man perldsc）。ここで、各要素（ユーザー名で入力）は別のハッシュ（またはでlogin入力passwd、タイムスタンプが値）です。

特定のユーザーの2つのイベントが確認された後、同じユーザーがログインしてから1秒以内にログアウトしたことを確認すると、ユーザー名を印刷してそのユーザー名のイベントを削除します。

そのユーザーに関連する他のイベントが見つかった場合は、そのユーザーの現在のイベント履歴をすべて削除します。

1行スクリプトで書かれていますが、スタンドアロンスクリプトに簡単に変換できます。

注：Bashや他の多くの言語の配列と同様に、Perl配列は1ではなく0から始まります。したがって、$F[0]最初のフィールド（日付と時刻）は$F[2]3番目のフィールド（ユーザー名）です。

Answer