Elasticsearch/Kibana查询与Watcher配置求助：多条件组合查询问题

你遇到的问题大概率是bool查询的嵌套逻辑错误，或者没有针对字段的分词特性选择合适的匹配方式。你的需求是两个条件组的“与”关系，每个组内又是多个条件的“与”，必须用嵌套的bool结构来实现，而非把所有条件平级放置。

正确的Elasticsearch Bool查询写法 #

假设你的日志中：

• 应用名称存在于字段app中
• 错误信息、重试信息存在于字段message中

以下是符合你逻辑的嵌套查询写法：

{
  "query": {
    "bool": {
      "must": [
        // 第一组条件：App1 AND 'Not_Found 404' AND 'ERROR'
        {
          "bool": {
            "must": [
              {"match": {"app": "App1"}},
              {"match_phrase": {"message": "Not_Found 404"}},
              {"match": {"message": "ERROR"}}
            ]
          }
        },
        // 第二组条件：App2 AND 'RetryCount is 6.Publsihing message to DLQ'
        {
          "bool": {
            "must": [
              {"match": {"app": "App2"}},
              {"match_phrase": {"message": "RetryCount is 6.Publsihing message to DLQ"}}
            ]
          }
        }
      ]
    }
  }
}

关键注意事项 #

• 嵌套结构：外层bool.must包含两个子bool查询，确保两组条件同时成立；每个子bool.must确保组内所有条件同时成立。
• 匹配方式选择：
  • 短字符串（如应用名）用match即可；若需精确匹配不分词的字段，改用term。
  • 长句或需要完整匹配的短语（如重试信息）必须用match_phrase，否则分词后会拆成单个词匹配，返回不符合预期的结果。
• 字段替换：把示例中的app、message替换成你实际使用的字段名（比如有的日志用application、log_content等）。

Kibana Watcher中的写法 #

如果要在Watcher中集成该查询，input部分的写法如下：

"input": {
  "search": {
    "request": {
      "indices": ["你的日志索引名"],
      "body": {
        "query": {
          "bool": {
            "must": [
              {
                "bool": {
                  "must": [
                    {"match": {"app": "App1"}},
                    {"match_phrase": {"message": "Not_Found 404"}},
                    {"match": {"message": "ERROR"}}
                  ]
                }
              },
              {
                "bool": {
                  "must": [
                    {"match": {"app": "App2"}},
                    {"match_phrase": {"message": "RetryCount is 6.Publsihing message to DLQ"}}
                  ]
                }
              }
            ]
          }
        }
      }
    }
  }
}

无结果的额外排查方向 #

1. 索引范围：确保查询的是包含目标日志的索引，Kibana默认可能只查询最近生成的索引。
2. 时间范围：确认时间过滤器覆盖了日志产生的时间段。
3. 字段值精确性：比如App1是否存在大小写问题？若字段是keyword类型，必须完全匹配原始值。

内容的提问来源于stack exchange，提问作者MyDream