Splunk：在后处理查询上设置令牌

Answer 1

从简单 XML 参考可以看出，您正在寻找

<done>

对已完成的搜索做出反应，其定义为：

Execute actions based on finished search events. Includes job properties and first result row.

我在“正确的”文档中找不到

<finalize>

，尽管在旧的 Web Framework 中你可以看到它的定义为：

Finalizes the search job.

（链接可能不稳定 - 至少对我来说是这样。如果它不显示内容，请尝试切换版本。）

由于我目前没有个人 Splunk 版本，因此我无法提供工作示例，但它应该很容易重现。