OpenSearch查询报错：terms不支持pname及日期格式解析异常求助

第一个错误：terms 查询不支持 pname 字段 #

错误原因 #

• terms 查询要求值必须是数组格式，原查询直接传入单个字符串 "John-Smith"，不符合语法规范。
• pname 字段大概率为 text 类型，terms 查询针对 text 字段会失效——因为text字段会被分词存储，而你需要匹配完整的"John-Smith"，必须使用其对应的keyword子字段（前提是字段映射中已配置）。

解决方法 #

更推荐用term查询匹配单个值，同时指定pname.keyword字段：

{
  "term": {
    "pname.keyword": "John-Smith"
  }
}

若坚持使用terms，则需将值改为数组格式，同时指定keyword字段：

{
  "terms": {
    "pname.keyword": ["John-Smith"]
  }
}

第二个错误：日期字段解析失败 #

错误原因 #

你的@timestamp字段被映射为epoch_millis（毫秒时间戳）格式，但查询时传入的是"2024-03-17"这类字符串日期，OpenSearch无法自动将其解析为毫秒时间戳，导致报错。

解决方法 #

有两种可行方案：

1. 转换为毫秒时间戳：将日期转成对应毫秒数，比如2024-03-17 00:00:00对应1710643200000，2024-03-19 23:59:59对应1710815999000，修改range查询：

{
  "range": {
    "@timestamp": {
      "gte": 1710643200000,
      "lte": 1710815999000
    }
  }
}

2. 指定日期格式解析：在range查询中添加format参数，告知OpenSearch如何解析传入的字符串日期：

{
  "range": {
    "@timestamp": {
      "gte": "2024-03-17",
      "lte": "2024-03-19",
      "format": "yyyy-MM-dd||epoch_millis"
    }
  }
}

yyyy-MM-dd||epoch_millis表示同时兼容字符串日期和毫秒时间戳两种格式。

最终可运行的查询语句 #

结合上述修正，完整查询如下：

GET /persons*/_search
{
  "size": 0,
  "query": {
    "bool": {
      "filter": [
        {
          "range": {
            "@timestamp": {
              "gte": "2024-03-17",
              "lte": "2024-03-19",
              "format": "yyyy-MM-dd||epoch_millis"
            }
          }
        },
        {
          "term": {
            "pname.keyword": "John-Smith"
          }
        }
      ]
    }
  },
  "aggs": {
    "pname_count": {
      "terms": {
        "field": "pname.keyword",
        "size": 10
      }
    }
  }
}

内容的提问来源于stack exchange，提问作者says