如何在Elasticsearch中按分组字段计数排序获取Top20 Section？

你之前的聚合逻辑顺序错误，先按section分组会优先统计每个section的总文档数，而不是按category+username组合后的section计数。要实现等价于修正后的SQL（select section, category, username, count(*) as cnt from table group by section, category, username order by cnt desc limit 20）的需求，有两种常用方法：

方法一：使用复合脚本字段的Terms聚合 #

通过脚本拼接category、username、section为唯一键，直接统计每个组合的文档数并排序取前20：

GET some_index/_search
{
  "size": 0,
  "query": {
    "bool": {
      "must": [
        {
          "match": {
            "some_filter_i_needed": "filter_value"
          }
        }
      ]
    }
  },
  "aggs": {
    "top_section_combinations": {
      "terms": {
        "script": {
          "source": "doc['category.keyword'].value + '|' + doc['username.keyword'].value + '|' + doc['section.keyword'].value"
        },
        "size": 20,
        "order": {
          "_count": "desc"
        }
      },
      "aggs": {
        "section_detail": {
          "terms": {
            "field": "section.keyword",
            "size": 1
          }
        },
        "category_detail": {
          "terms": {
            "field": "category.keyword",
            "size": 1
          }
        },
        "username_detail": {
          "terms": {
            "field": "username.keyword",
            "size": 1
          }
        }
      }
    }
  }
}

每个返回的bucket中，_count就是该category+username+section组合的文档数，section_detail、category_detail、username_detail会分别返回对应的字段值，避免解析拼接字符串的麻烦。

方法二：使用Composite聚合+Bucket Sort #

这种方式更规范，适合多维度分组场景，先获取所有category+username+section组合，再按计数排序取前20：

GET some_index/_search
{
  "size": 0,
  "query": {
    "bool": {
      "must": [
        {
          "match": {
            "some_filter_i_needed": "filter_value"
          }
        }
      ]
    }
  },
  "aggs": {
    "all_combinations": {
      "composite": {
        "size": 1000, // 设为足够大的值，确保覆盖前20的组合
        "sources": [
          { "category": { "terms": { "field": "category.keyword" } } },
          { "username": { "terms": { "field": "username.keyword" } } },
          { "section": { "terms": { "field": "section.keyword" } } }
        ]
      },
      "aggs": {
        "doc_count": {
          "value_count": {
            "field": "_id"
          }
        }
      }
    },
    "top_20_sections": {
      "bucket_sort": {
        "sort": [
          { "doc_count": { "order": "desc" } }
        ],
        "size": 20
      }
    }
  }
}

注意：composite聚合的size需要设置得足够大（比如1000），避免因为分页导致漏掉高计数的组合。如果你的数据量极大，可以结合after参数进行分页查询，但如果只是取前20，设置一个合理的大值即可。

内容的提问来源于stack exchange，提问作者Kyon