Affinements de requêtes transactionnelles

Expressions

Utilisez les expressions décrites dans la section suivante pour affiner votre requête AQL transactionnelle :

Syntaxe

SESSION BY 
<TimeExpression> <ExpressionList> 
[EXPLICIT] BEGIN <booleanExpression>  
[EXPLICIT] END <booleanExpression> 
TIMEOUT <IntegerLiteral millieseconds> 
TIMEWINDOW <IntegerLiteral SECONDS|MINUTES|HOURS|DAYS>

Les exemples suivants illustrent les exemples de résultats que vous obtenez en utilisant différentes combinaisons des expressions de requête disponibles:

Expressions BEGIN et END

Une expression BEGIN démarre une session lorsqu'un événement correspond à l'expression BEGIN ou que l'événement précédent termine la session.

Une expression END termine une session lorsque l'expression END est vraie pour un événement ou que l'événement suivant démarre une nouvelle session.

En utilisant l'expression EXPLICIT avec les expressions BEGIN et END, vous appliquez un filtre plus précis qui affine l'ensemble de résultats.

Voir les exemples de requêtes et de résultats suivants.

L'exemple de requête suivant utilise les expressions BEGIN et END.

Select sessionId, 
DATEFORMAT(starttime,'YYYY-MM-dd HH:mm:ss') 
start_time, username, sourceip, 
category from events into TR1 
where username = 'user_x' 
SESSION BY starttime username, sourceip 
BEGIN category=16001 
END category=16003 
start '2016-12-10 16:00' stop '2016-12-10 23:30'

Le tableau suivant présente les résultats de la requête utilisant BEGIN et END.

Expressions EXPLICIT BEGIN et END

Les événements sont ignorés lorsqu'une session n'est pas démarrée et qu'un événement n'est pas un événement EXPLICIT BEGIN.

Select sessionId, 
DATEFORMAT(starttime,'YYYY-MM-dd HH:mm:ss') 
start_time, username, sourceip, 
category from events into TR2 
where username='user_x' 
SESSION BY starttime username, sourceip 
EXPLICIT BEGIN category=16001 
END category=16003 start '2016-12-10 16:00' 
stop '2016-12-10 23:30'

Le tableau suivant présente les résultats de la requête qui utilise EXPLICIT BEGIN et END.

Seuls les événements répondant à l'expression EXPLICIT BEGIN sont renvoyés.

Sessionid 2 et Sessionid 4 dans EXPLICIT BEGIN et END ne répondent pas à l'expression EXPLICIT BEGIN.

BEGIN et EXPLICIT END

Fermez la session en cours uniquement si l'expression EXPLICIT END est vraie. Il n'y a plus de contrôle des événements BEGIN dans la session lorsque l'expression EXPLICIT END est vraie.

Plusieurs événements BEGIN dans une même session peuvent être associés à une expression EXPLICIT END. Par exemple, vous pouvez utiliser l'expression EXPLICIT END pour compter plusieurs tentatives de connexion ayant échoué, suivies d'une connexion réussie au cours d'un intervalle de temps spécifique (délai d'attente de session).

L'exemple de requête suivant utilise les expressions BEGIN et EXPLICIT END.

Select sessionId, 
DATEFORMAT(starttime,'YYYY-MM-dd HH:mm:ss') 
start_time, username, sourceip, 
category from events into TR3 
where username = 'user_x' 
SESSION BY starttime username, sourceip 
BEGIN category=16001 
EXPLICIT END category=16003 
start '2016-12-10 16:00' 
stop '2016-12-10 23:30'

Le tableau suivant présente les résultats de la requête utilisant les expressions BEGIN et EXPLICIT END.

EXPLICIT BEGIN et EXPLICIT END

Les événements sont ignorés lorsqu'une session n'est pas démarrée et qu'un événement n'est pas un événement EXPLICIT BEGIN.

Fermez la session en cours uniquement si l'expression EXPLICIT END est vraie. Il n'y a plus de contrôle des événements BEGIN dans la session lorsque l'expression EXPLICIT END est vraie.

L'exemple de requête suivant utilise les expressions EXPLICIT BEGIN et EXPLICIT END.

Select sessionId, 
DATEFORMAT(starttime,'YYYY-MM-dd HH:mm:ss') 
start_time, username, sourceip, 
category from events into TR4 
where username = 'user_x' 
SESSION BY starttime username, sourceip 
EXPLICIT BEGIN category=16001 
EXPLICIT END category=16003 
start '2016-12-10 16:00' 
stop '2016-12-10 23:30'

Le tableau suivant présente les résultats de la requête qui utilise les expressions EXPLICIT BEGIN et EXPLICIT END.

TIMEOUT

Ferme la session lorsque la période TIMEOUT spécifiée s'écoule à partir du moment où l'événement précédent s'est produit au moment où l'événement en cours s'est produit. L'événement en cours fait partie d'une nouvelle session. La valeur TIMEOUT est spécifiée en millisecondes.

L'exemple de requête suivant utilise l'expression TIMEOUT.

Select sessionId, 
DATEFORMAT(starttime,'YYYY-MM-dd HH:mm:ss.SSS') 
start_time, username, sourceip, 
category from events into TR5 
where username='user_x' 
SESSION BY starttime username, sourceip 
BEGIN category=16001 
EXPLICIT END category=16003 
TIMEOUT 3600 
start '2016-12-10 16:00' 
stop '2016-12-10 23:30'

Le tableau suivant présente les résultats de la requête qui utilise l'expression TIMEOUT.

Sessionid 1 est arrêté et sessionid 2 est démarré, car le TIMEOUT de 3600 est dépassé.

TIMEWINDOW

Effectue le suivi de la session. Ferme la session lorsque la période TIMEWINDOW spécifiée s'écoule à partir du moment où le premier événement s'est produit au moment où l'événement en cours s'est produit. L'événement en cours fait partie d'une nouvelle session. La valeur TIMEWINDOW peut être spécifiée en secondes, minutes, heures ou jours.

L'exemple de requête suivant utilise l'expression TIMEWINDOW.

Select sessionId, 
DATEFORMAT(starttime,'YYYY-MM-dd HH:mm:ss.SSS') 
start_time, username, sourceip, 
category from events into TR6 
where username='user_x' 
SESSION BY starttime username, sourceip 
BEGIN category=16001 
EXPLICIT END category=16003 
TIMEWINDOW 3000 
start '2016-12-10 16:00' 
stop '2016-12-10 23:30'

Le tableau suivant présente les résultats de la requête qui utilise l'expression TIMEWINDOW.

Sessionid1 se trouve dans l'expression TIMEWINDOW, mais sessionid 2 est arrêté car le TIMEWINDOW de 3600 est dépassé.