我还不完全清楚你到底想要什么，但我假设你是在数组元素之后 terminatingrule 不是 "null" （我也会假设如果有多个你想要第一个）。
你链接的文档说 rulegrouplist 列为 array<string> . 原因是 string 不是复杂类型是因为这个列似乎有多个不同的模式，一个例子是 terminatingrule 属性不是字符串 "null" ，或结构/对象- 用雅典娜的类型系统无法描述的东西。
不过，这不是问题。在处理json时，可以使用一整套json函数。这里有一种方法 json_extract 结合 filter 以及 element_at 删除 terminatingrule 属性是字符串“null”，然后选择剩余元素中的第一个：

SELECT
  element_at(
    filter(
      rulegrouplist,
      rulegroup -> json_extract(rulegroup, '$.terminatingrule') <> CAST('null' AS JSON)
    ),
    1
  ) AS first_non_null_terminatingrule
FROM waf_logs
WHERE action = 'BLOCK'
ORDER BY date DESC

你说你想要“latest”，这对我来说是不明确的，可能意味着第一个非空元素和最后一个非空元素。上面的查询将返回第一个非null元素，如果需要最后一个，可以将第二个参数改为 element_at 到-1（雅典娜的数组索引从1开始，-1从末尾开始计数）。
要返回json的单个ruleid元素：

SELECT from_unixtime(timestamp / 1000e0) AS date, action, httprequest.clientip AS ip, httprequest.uri AS request, httprequest.country as country, terminatingruleid, json_extract(element_at(filter(rulegrouplist,rulegroup -> json_extract(rulegroup, '$.terminatingrule') <> CAST('null' AS JSON)  ),1), '$.terminatingrule.ruleid') AS ruleid
FROM waf_logs
WHERE action='BLOCK'
ORDER BY date DESC

我也有同样的问题，但是theo发布的解决方案对我不起作用，即使表是根据原始帖子中链接到的说明创建的。
以下是对我有效的方法，基本上与theo的解决方案相同，但没有json转换：

SELECT
  from_unixtime(timestamp / 1000e0) AS date,
  action,
  httprequest.clientip AS ip,
  httprequest.uri AS request,
  httprequest.country as country,
  terminatingruleid,
  rulegrouplist
  element_at(filter(ruleGroupList, ruleGroup -> ruleGroup.terminatingRule IS NOT NULL),1).terminatingRule.ruleId AS ruleId
FROM waf_logs
WHERE action='BLOCK'
ORDER BY date DESC
LIMIT 100;