Traducteur SPL vers APL

Sécurité des types : Les champs comme status sont souvent stockés en tant que chaînes. Toujours transtyper avant une comparaison numérique : toint(status) >= 500, pas status >= 500.

Différences critiques

1. Le temps est explicite en APL : Les sélecteurs de temps SPL ne se traduisent pas — ajouter where _time between (ago(1h) .. now())
2. Structure : SPL index=... | command → APL ['dataset'] | operator
3. Join est une preview : limitée à 50k lignes, inner/innerunique/leftouter uniquement
4. Paramètres cidrmatch inversés : SPL cidrmatch(cidr, ip) → APL ipv4_is_in_range(ip, cidr)

Mappages de commandes principales

Mappages complets : reference/command-mapping.md

Stats → Summarize

# SPL
| stats count by status

# APL  
| summarize count() by status

Mappages de fonctions clés

Motif de comptage conditionnel

# SPL
| stats count(eval(status>=500)) as errors by host

# APL
| summarize errors = countif(status >= 500) by host

Liste complète des fonctions : reference/function-mapping.md

Eval → Extend

# SPL
| eval new_field = old_field * 2

# APL
| extend new_field = old_field * 2

Mappages de fonctions clés

Motif case statement

# SPL
| eval level = case(
    status >= 500, "error",
    status >= 400, "warning",
    1==1, "ok"
  )

# APL  
| extend level = case(
    status >= 500, "error",
    status >= 400, "warning",
    "ok"
  )

Note : Le catch-all 1==1 de SPL devient un default implicite en APL.

Rex → Parse/Extract

# SPL
| rex field=message "user=(?<username>\w+)"

# APL - parse avec regex
| parse kind=regex message with @"user=(?P<username>\w+)"

# APL - fonction extract  
| extend username = extract("user=(\\w+)", 1, message)

Motif simple (non-regex)

# SPL
| rex field=uri "^/api/(?<version>v\d+)/(?<endpoint>\w+)"

# APL
| parse uri with "/api/" version "/" endpoint

Gestion du temps

Les sélecteurs de temps SPL ne se traduisent pas. Toujours ajouter une plage de temps explicite :

# SPL (sélecteur de temps : Last 24 hours)
index=logs

# APL
['logs'] | where _time between (ago(24h) .. now())

Traduction timechart

# SPL
| timechart span=5m count by status

# APL
| summarize count() by bin(_time, 5m), status

Motifs courants

Calcul du taux d'erreur

# SPL
| stats count(eval(status>=500)) as errors, count as total by host
| eval error_rate = errors/total*100

# APL
| summarize errors = countif(status >= 500), total = count() by host
| extend error_rate = toreal(errors) / total * 100

Sous-requête (subsearch)

# SPL
index=logs [search index=errors | fields user_id | format]

# APL
let error_users = ['errors'] | where _time between (ago(1h) .. now()) | distinct user_id;
['logs']
| where _time between (ago(1h) .. now())
| where user_id in (error_users)

Joindre des datasets

# SPL
| join user_id [search index=users | fields user_id, name]

# APL
| join kind=inner (['users'] | project user_id, name) on user_id

Groupement de type transaction

# SPL
| transaction session_id maxspan=30m

# APL (pas d'équivalent direct — reconstruire avec summarize)
| summarize 
    start_time = min(_time),
    end_time = max(_time),
    events = make_list(pack("time", _time, "action", action)),
    duration = max(_time) - min(_time)
  by session_id
| where duration <= 30m

Performance de correspondance de chaînes

Préférer has à contains (la correspondance de limite de mot est plus rapide). Utiliser les variantes _cs pour la sensibilité à la casse (plus rapide).

Référence

• reference/command-mapping.md — liste complète des commandes
• reference/function-mapping.md — liste complète des fonctions
• reference/examples.md — exemples complets de traduction de requêtes
• Docs APL : https://axiom.co/docs/apl/introduction