有几种方法可以做到这一点-下面是我最常用的一种（假设您 * 也 * 希望value与name一起使用）：

index=ndx sourcetype=srctp request.headers{}.name="x-real-ip"
| eval combined=mvzip(request.headers{}.name,request.headers{}.value,"|")
| mvexpand combined
| search combined="x-real-ip*"

这将跳过request.headers{}.name多值字段中某处不包含“x-real-ip“的所有事件
接下来，它将两个多值字段（name和value）合并为一个mv字段，并以|字符分隔
然后展开结果集，以便一次查看一行
最后，您将查找 * 仅 * 包含值“x-real-ip“的结果
如果您希望从组合字段中提取value，请添加以下行：

| rex field-combined "\|(?<x_real_ip>.+)"

当然，您还可以根据需要对数据执行任何其他SPL操作

我尝试@Warren 's answer，但得到以下错误：
“eval”命令中的错误：表达式格式不正确。应为）。
您需要添加一个重命名，因为mvzip中的{}字符会导致问题。

index=ndx sourcetype=srctp request.headers{}.name="x-real-ip"
| rename request.headers{}.name AS headerName, request.headers{}.value AS headerValue 
| eval reviewers=mvzip(headerName,headerValue ,"|")|
| mvexpand combined
| search combined="x-real-ip*"

your search
| rex max_match=0 "name\":\s\"(?<fieldname>[^\"]+)"
| rex max_match=0 "value\":\s\"(?<fieldvalue>[^\"]+)"
| eval tmp=mvzip(fieldname,fieldvalue,"=")
| rename tmp as _raw
| kv
| fields - _* field*

当您提问时，请提供正确的信息。您在此过程中已用完日志。