ELK學習筆記(6) - ELK 搜尋語法

在kibana進行搜尋時,可以使用Lucene通用的語法,或者使用 JSON 格式 QueryDSL(DSL:Digital Subscriber Line)來進行各項搜尋請求。Apache Lucene 提供了方便的查詢方式,本文就來介紹一下 Lucene 查詢解析器支援的語法。



[查詢欄位方式]

(1) 使用冒號表示包含該值
❋❋例如:status:active

(2) 使用刮號,包含多個值
❋❋例如:title:(quick OR brown)
❋❋        :title:(quick brown)

(3) 查詢多字元使用雙引號刮起來
❋❋例如:author:"John Smith"


[特定字串]
使用雙引號將查詢的一個字或字串引起來。
❋❋例如:"Mozilla/5.0"
❋❋        :"like Gecko"


[萬用字元]
使用「?」表示取代單一個字元,「*」表示取代0 或多個字元,「.」可以用來表示任何字元
「?  *」不能用作第一個字符,如:?text *text
❋❋例如:qu?ck bro* , kiba?a, el*search
❋❋例如:對於字符串"abcde",ab... 符合,a.c.e 也符合
❋❋        :book.\*:(quick brown),表示book.title, book.content或book.date 包含 quick 或 brown (需要用反斜線帶出*):

一個或多個加號"+"可以用來重複一次或多次前面的最短模式。對於字符串"aaabbb":
❋❋例如:a + b +  符合
❋❋        :aa + bb + 符合
❋❋        :a +.+ 符合
❋❋        :aa + bbb +  符合


[區間查詢方式]
數值/時間/IP/字符串類型的字段可以對某一範圍進行查詢,使用 TO指令表示查詢起迄值,中刮號表示包含
❋❋例如:date:[2012-01-01 TO 2012-12-31]
                  count:[1 TO 5]
                  length:[100 TO 200]
                  sip:["172.24.20.110" TO "172.24.20.140"]
                  host:["10.28.0.0" TO "10.28.0.255"]


[排除某區間值]
使用大刮號,表示排除,[ ]表示端點數值包含在範圍內,{ }表示端點數值不包含在範圍內,可以混合使用
❋❋例如:tag:{alpha TO omega},排除 alpha 跟 omega:
❋❋        :count:[10 TO *],表示10以上
❋❋        :date:{* TO 2012-01-01},表示日期在 2012年前
❋❋        :date:{"now-6h" TO "now"}
❋❋        :tag:{b TO e}     搜索b到e中間的字符
❋❋        :count:[10 TO *]    * 表示一端不限制範圍
❋❋        :count:[1 TO 5}     此語句為1到5,包括1,不包括5


範圍可用以下表示式:
age:>10
age:>=10
age:<10
age:<=10


[保留字]
如果用到保留字作為查詢的條件之一,就要使用反斜線當作引導字元。
保留字元包括:+ - = && || > < ! ( ) { } [ ] ^ " ~ * ? : \ /
❋❋例如:查詢 (1+1)=2,,就要寫成 \(1\+1\)\=2


[布爾運算]
布爾運算符(AND,OR,NOT)允許通過邏輯運算符組合多個子查詢。
運算符AND/OR/NOT必須是大寫

直接在查詢結果的欄位處點擊放大鏡,+表示查詢該值或-排除該值

+:搜索結果中必須包含此項
-:不能含有此項
❋❋例如:+apache -jakarta  結果中必須存在apache,不能有jakarta
❋❋        :title:(+return +"pink panther")
❋❋        :host:(baidu OR qq OR google) AND host:(com OR cn)   轉譯特殊字符


[參考資料]
https://www.elastic.co/guide/en/elasticsearch/reference/current/query-dsl.html


[修訂紀錄]
2018.06.12 初版


Share on Google Plus
    Blogger Comment
    Facebook Comment

0 意見:

張貼留言