Elasticsearch执行match_all查询返回结果数远少于总记录数求助

1. 确认max_result_window设置是否生效 #

先执行命令验证索引配置是否成功更新：

GET /Index_Here/_settings?filter_path=index.max_result_window

如果返回结果的max_result_window不是200000，说明之前的PUT请求未生效，排查以下点：

• 检查索引名称拼写是否正确
• 确认账号有修改索引设置的权限
• 集群环境下需确保所有节点同步了配置

2. 检查track_total_hits配置 #

Elasticsearch 7.x及以上版本，默认track_total_hits会将返回的匹配总数限制为10000，这会导致hits.total.value显示10000，但实际返回的结果数可能已达到size设置值。可在查询中强制开启全量计数，同时验证结果数：

GET /Index_Here/_search
{
  "from": 0, "size": 20000,
  "track_total_hits": true,
  "query": { "match_all": {} }
}

查看返回结果的hits.hits数组长度是否等于20000，此时hits.total.value会显示真实的1000000条记录数。

3. 排查客户端或分片限制 #

• 若使用Kibana等客户端，部分工具自带分页上限（默认10000条），需在客户端设置中调整分页参数
• 检查索引分片状态，执行GET /_cat/shards/Index_Here?v确保所有分片处于STARTED状态，无未分配或故障分片

4. 全量数据查询的最优方案 #

若需获取100万条全量数据，不建议使用from/size分页（即使调高max_result_window也会引发性能和内存问题），推荐以下两种方案：

Scroll API 示例 #

# 初始化scroll，保留查询上下文1分钟
GET /Index_Here/_search?scroll=1m
{
  "size": 1000,
  "query": { "match_all": {} }
}

# 循环调用scroll获取下一批数据，替换<scroll_id>为上一次返回的_scroll_id
GET /_search/scroll
{
  "scroll": "1m",
  "scroll_id": "<scroll_id>"
}

# 完成查询后清理scroll上下文
DELETE /_search/scroll
{
  "scroll_id": "<scroll_id>"
}

Search After 示例 #

# 首次查询，指定排序字段并获取最后一条文档的排序值
GET /Index_Here/_search
{
  "size": 1000,
  "query": { "match_all": {} },
  "sort": [{"_id": "asc"}]
}

# 后续查询，用上一次最后一条文档的_id值作为search_after参数
GET /Index_Here/_search
{
  "size": 1000,
  "query": { "match_all": {} },
  "sort": [{"_id": "asc"}],
  "search_after": ["<last_doc_id>"]
}

内容的提问来源于stack exchange，提问作者Code Noob