ElasticSearch统计字段中特定IP出现次数问题求助

原脚本的错误点 #

1. 字段名错误：脚本中使用CALL_HOPS，但实际目标字段是IPS，字段名不匹配导致无法正确读取数据。
2. 逻辑用途错误：当前脚本放在filter中，只会返回包含目标IP的文档，无法统计该IP的总出现次数；同时脚本返回的是数字（count结果），但filter要求脚本返回布尔值，这会直接导致查询报错。

可行实现方法 #

方法一：利用keyword子字段做聚合（推荐，性能最优） #

由于IPS字段包含keyword子字段，可直接通过terms聚合统计目标IP的出现次数，无需脚本：

{
  "size": 0,
  "aggs": {
    "target_ip_total": {
      "terms": {
        "field": "IPS.keyword",
        "include": "192.16.2.4"
      }
    }
  }
}

• size: 0：不返回具体文档，只返回聚合结果
• include：指定仅统计目标IP的次数，结果中会直接显示该IP的总出现数

方法二：脚本字段+求和聚合（兼容特殊场景） #

如果无法使用keyword子字段，可通过脚本计算每个文档中目标IP的出现次数，再求和得到总数：

{
  "size": 0,
  "script_fields": {
    "ip_match_count": {
      "script": {
        "source": "params._source.IPS.stream().filter(ip -> ip == params.target_ip).count()",
        "params": {
          "target_ip": "192.16.2.4"
        }
      }
    }
  },
  "aggs": {
    "total_count": {
      "sum": {
        "script": "doc['ip_match_count'].value"
      }
    }
  }
}

• script_fields：计算单条文档内目标IP的出现次数
• sum聚合：将所有文档的统计结果求和，得到目标IP的总出现次数

内容的提问来源于stack exchange，提问作者Srujan Gundeti