1: 背景：
最近用户有个疑问，就是有些字段的输出有点问题，不确定是否被加工过。
2: 查找问题：
index=abc sourcetype=def123
发现字段： city_shanghai 的输出可能有点问题。
3: 排查问题：
先去这个splunk search head cluster 的页面： server 的查找如下：
登入so1 server, 然后切换到splunk 用户：
使用如下的命令：
splunk btool props list def123 --debug
注意：起关键作用的是： sourcetype, 我看到如下输出：
/opt/splunk/etc/apps/abc/local/props.conf [def123]
/opt/splunk/etc/apps/abc/local/props.conf FIELDALIAS-city = "source-city" ASNEW city
并没有字段：city_shanghai
就可以证明：这个字段；city_shan
