В сообществе Splunk часто встречается вопрос, связанный с сообщением об ошибке:

Error in eval command. The number 192.168.1.1 is invalid.

Эта ошибка появляется, когда в операторе eval пытаются использовать IP‑адрес без кавычек. Ниже подробно разберём, почему так происходит, как исправить и какие лучшие практики помогут избежать подобных проблем в будущем.

Почему возникает ошибка «Error in eval command»

Согласно информации из Splunk Community (source [1]), точка в IP‑адресе воспринимается как оператор конкатенации строк. Когда Splunk видит запись вида:

| eval ipaddress=192.168.1.1

он интерпретирует 192.168.1.1 как математическое выражение: 192 − 168 − 1 − 1, что приводит к типу number. Однако после первой точки ожидается строка, а получается число → возникает ошибка «type mismatch».

Иными словами, IP‑адрес является строкой, а не числом, и его необходимо заключать в двойные кавычки.

Решение: заключать IP‑адрес в кавычки

Самый простой способ исправить ошибку – добавить кавычки вокруг значения:

| eval ipaddress="192.168.1.1"

Теперь Splunk воспринимает 192.168.1.1 как строковый литерал, и дальнейшие операции (lookup, table и т.д.) работают корректно.

Примеры корректных запросов

1. Базовый eval с IP‑адресом:

   | makeresults
   | eval ipaddress="192.168.1.1"
   | lookup AM ipaddress OUTPUT hostname
   | table ipaddress,hostname
   

2. Использование токена из текстового поля на дашборде:

   | makeresults
   | eval ipaddress="$ip_token$"
   | lookup AM ipaddress OUTPUT hostname
   | table ipaddress,hostname
   

   Если пользователь вводит IP‑адрес без кавычек, токен $ip_token$ уже содержит чистую строку, поэтому кавычки вокруг токена не нужны. Важно лишь убедиться, что сам токен не содержит лишних кавычек.

3. Защита от случайного ввода кавычек:

   | makeresults
   | eval ipaddress=replace("$ip_token$", """, "")
   | lookup AM ipaddress OUTPUT hostname
   | table ipaddress,hostname
   

   Здесь мы удаляем любые двойные кавычки, которые пользователь мог случайно ввести, гарантируя корректную строку для последующего lookup.

Автоматизация с помощью токенов на дашборде

Как отмечалось в обсуждении (source [1]), часто возникает ситуация, когда пользователь вводит IP‑адрес в обычное текстовое поле, а затем значение передаётся в поиск через токен. Чтобы избежать ошибки, можно применить один из следующих подходов:

• Обернуть токен в кавычки в самом запросе: | eval ipaddress="$ip_token$" – если вы уверены, что пользователь никогда не вводит кавычки.
• Добавить подсказку рядом с полем ввода: пояснить, что вводить адрес нужно без кавычек, а система сама их добавит.
• Проверить наличие кавычек и при необходимости удалить их: использовать функцию replace или trim в eval.

Рекомендации по оформлению кода

Чтобы код был читаем и легко поддерживался, соблюдайте следующие простые правила:

• Всегда заключайте строковые литералы (включая IP‑адреса, имена хостов, пути) в двойные кавычки.
• Используйте отступы и переносы строк для сложных eval‑выражений, чтобы видеть каждую операцию отдельно.
• Комментируйте неочевидные части поиска с помощью # (комментарий в Splunk) или отдельного поля description в панели.
• Тестируйте запрос в режиме | makeresults перед применением к реальным данным.

Ошибка «Error in eval command. The number … is invalid» возникает из‑за неправильного обращения с IP‑адресом как с числом. Решение простое – всегда представлять IP‑адрес как строку, заключая его в двойные кавычки. При работе с пользовательским вводом на дашбордах полезно либо автоматически добавлять кавычки в запрос, либо очищать ввод от лишних символов. Следуя этим рекомендациям, вы избавитесь от досадных ошибок и сделаете свои Splunk‑поиски более надёжными и поддерживаемыми.