Elasticsearch带聚合查询的执行顺序与性能疑问

我是Elasticsearch新手，在构建查询时对执行顺序和性能问题产生了疑问。假设Elasticsearch中存储了过去3年的文档，这些文档包含timestamp字段和user字段，仅需对这些文档执行聚合操作。我想了解执行以下查询时，Elasticsearch底层的处理逻辑：

{
    "query": {},
    "size": 0,
    "aggs": {
        "documents_by_user": {
            "terms": {
                "field": "user",
                "size": 10
            },
            "aggs": {
                "min_time": {
                    "min": {
                        "field": "timestamp"
                    }
                }
            }
        }
    }
}

Elasticsearch会先获取过去3年的所有文档，再执行聚合最后仅返回10个桶吗？如果是这样，这类查询应避免；还是Elasticsearch可以实时构建桶？

底层处理逻辑说明 #

Elasticsearch不会先加载所有文档再做聚合，它是在分片层面实时构建桶的，具体流程如下：

• 分片本地聚合：每个分片独立处理自身存储的文档，遍历过程中实时维护user对应的桶——每碰到一个文档，就定位到该user的桶，更新桶的文档计数，同时将当前文档的timestamp与桶内已有的min_time对比，保留更小的值。这个过程不需要加载完整文档，只读取user和timestamp字段的高效存储数据（比如keyword/date类型的列存或倒排索引）。
• 协调节点合并结果：所有分片完成本地聚合后，协调节点会汇总各分片返回的user桶——同一个user的桶会合并，文档计数相加，同时取所有分片里该user的最小timestamp作为最终min_time。
• 筛选Top N桶：最后协调节点将合并后的所有桶按文档计数排序，取出你指定的前10个返回。

性能注意事项 #

这种查询无需刻意避免，但要留意几个关键点：

• 如果user字段基数极大（比如数百万不同用户），协调节点合并桶时会占用较多内存，需确保集群配置足够支撑；
• 你的query为空，会遍历所有文档，建议在query中添加range过滤timestamp（限定过去3年），这样分片只会处理符合时间范围的文档，大幅降低计算量；
• 确保user是keyword类型（适配terms聚合）、timestamp是date类型，能最大化聚合时的字段读取效率。

内容的提问来源于stack exchange，提问作者Yaya