ELK查询结果异常求助：意外匹配rule.id:100002问题排查

你的查询逻辑完全错误——当前bool.should是逻辑或关系，只要满足列表里任意一个条件就会返回结果。比如只要事件的timestamp在近10分钟内，哪怕rule.id是100002、rule.description也不含"PNP device"，一样会被命中，这就是你看到不符合预期结果的原因。

你实际需要的是逻辑与组合：

• 事件必须在近10分钟内
• rule.description必须包含"PNP device"
• rule.id必须是111000或111001（二选一）

把条件拆分到must和should里，must放必须满足的条件，should放二选一的rule.id条件，同时给should设置minimum_should_match: 1确保至少命中一个id：

{
  "query": {
    "bool": {
      "must": [
        {
          "wildcard": {
            "rule.description": {
              "value": "*PNP device*"
            }
          }
        },
        {
          "range": {
            "timestamp": {
              "gte": "now-10m",
              "lte": "now",
              "format": "strict_date_optional_time"
            }
          }
        }
      ],
      "should": [
        {
          "match_phrase": {
            "rule.id": {
              "query": "111000",
              "slop": 0,
              "zero_terms_query": "NONE",
              "boost": 1
            }
          }
        },
        {
          "match_phrase": {
            "rule.id": {
              "query": "111001",
              "slop": 0,
              "zero_terms_query": "NONE",
              "boost": 1
            }
          }
        }
      ],
      "minimum_should_match": 1,
      "adjust_pure_negative": true,
      "boost": 1
    }
  }
}

另外，rule.id如果是精确匹配场景，用terms查询会更高效，可替代两个match_phrase：

{
  "query": {
    "bool": {
      "must": [
        {
          "wildcard": {
            "rule.description": {
              "value": "*PNP device*"
            }
          }
        },
        {
          "range": {
            "timestamp": {
              "gte": "now-10m",
              "lte": "now",
              "format": "strict_date_optional_time"
            }
          }
        },
        {
          "terms": {
            "rule.id": ["111000", "111001"]
          }
        }
      ],
      "adjust_pure_negative": true,
      "boost": 1
    }
  }
}

内容的提问来源于stack exchange，提问作者Danfossi