Elasticsearch能否实现字段级审计？如何添加可查询的字段级更新时间戳？

完全可以实现字段级的最后更新时间戳存储，并且支持API检索，下面是两种常用的落地方案：

• 方案一：为每个业务字段配对独立时间戳字段
  针对现有10个业务字段，分别新增对应的时间戳字段（比如业务字段是nickname，就新增nickname_last_updated），字段类型设为date。每次更新某个业务字段时，同步将对应时间戳字段设为当前时间（推荐用ISO 8601格式，比如2024-05-20T14:30:00Z）。
  检索时直接查询这些时间戳字段即可，比如要找最近一周更新过nickname的文档，用如下查询语句：

  {
    "query": {
      "range": {
        "nickname_last_updated": {
          "gte": "now-7d/d"
        }
      }
    }
  }
  

  优势是逻辑简单、检索性能好；不足是索引字段数量会翻倍，结构稍显冗余。

• 方案二：用嵌套对象统一管理字段更新信息
  新增一个field_update_records的嵌套类型字段，结构示例如下：

  {
    "field_update_records": [
      {"field": "nickname", "last_updated": "2024-05-20T14:30:00Z"},
      {"field": "phone", "last_updated": "2024-05-19T09:15:00Z"}
    ]
  }
  

  更新业务字段时，找到对应field值的嵌套对象更新last_updated；如果是字段首次更新，就新增一条嵌套记录。检索时需要用nested查询，比如找phone字段在2024年5月后更新的文档：

  {
    "query": {
      "nested": {
        "path": "field_update_records",
        "query": {
          "bool": {
            "must": [
              {"match": {"field_update_records.field": "phone"}},
              {"range": {"field_update_records.last_updated": {"gte": "2024-05-01T00:00:00Z"}}}
            ]
          }
        }
      }
    }
  }
  

  优势是索引结构更规整，适合字段数量较多的场景；不足是嵌套查询性能略低于普通字段，更新时需要处理嵌套对象的增改逻辑。

注意事项 #

• 无论用哪种方案，都要保证业务字段和时间戳的更新操作是原子性的，建议用Elasticsearch的update API一次性提交修改，避免出现数据不一致的情况。
• 时间戳字段务必设置为date类型，不要用字符串存储，这样才能正常使用范围查询、排序等功能。

内容的提问来源于stack exchange，提问作者Spartacus