Elasticsearch Watcher查询无匹配结果问题排查求助

核心问题1：terms查询不适合text类型字段的短语匹配 #

你的terms查询是对message字段做精确匹配，但默认情况下message是text类型，会被Elasticsearch的分词器拆分（比如你写入的"NFDRV error"会被拆成nfdrv和error两个独立词项）。而terms查询只会匹配完全等于词项的结果，不会匹配拆分后的短语，所以自然找不到对应日志。

核心问题2：时间范围可能不包含最新日志 #

你的时间范围是gte: "now-1d/d"到lt: "now/d"，这个表达式代表昨天0点到今天0点的区间。如果你刚执行logger命令生成的日志是今天的，这条日志的@timestamp会落在今天，不在你设置的时间范围内，所以Watcher也不会命中。

修复方案 #

方案1：改用短语匹配查询（适合匹配完整短语） #

将terms替换为match_phrase的组合，这样可以匹配完整的短语内容：

"input": {
  "search": {
    "request": {
      "search_type": "query_then_fetch",
      "indices": [".ds-logs-system.syslog-default-2023.01.30"],
      "rest_total_hits_as_int": true,
      "body": {
        "query": {
          "bool": {
            "must": [
              {
                "bool": {
                  "should": [
                    {"match_phrase": {"message": "MaxDiskUsage Errors"}},
                    {"match_phrase": {"message": "NFChannelExceededMaxDiskUsageException"}},
                    {"match_phrase": {"message": "Missed an Update, Entry is Attached"}},
                    {"match_phrase": {"message": "NFDRV error"}}
                  ],
                  "minimum_should_match": 1
                }
              },
              {
                "range": {
                  "@timestamp": {
                    "gte": "now-5m", // 改为最近5分钟，可根据需求调整范围
                    "lt": "now"
                  }
                }
              }
            ]
          }
        }
      }
    }
  }
}

方案2：使用keyword子字段做精确匹配（如果存在） #

如果你的message字段有对应的message.keyword子字段（默认mapping会自动生成），可以直接用terms查询这个子字段——keyword类型不会分词，会保留完整字符串的精确值：

"input": {
  "search": {
    "request": {
      "search_type": "query_then_fetch",
      "indices": [".ds-logs-system.syslog-default-2023.01.30"],
      "rest_total_hits_as_int": true,
      "body": {
        "query": {
          "bool": {
            "must": [
              {
                "terms": {
                  "message.keyword": [
                    "MaxDiskUsage Errors",
                    "NFChannelExceededMaxDiskUsageException",                  
                    "Missed an Update, Entry is Attached",
                    "NFDRV error"                 
                  ]
                }
              },
              {
                "range": {
                  "@timestamp": {
                    "gte": "now-5m", // 调整时间范围到包含最新日志
                    "lt": "now"
                  }
                }
              }
            ]
          }
        }
      }
    }
  }
}

额外注意 #

• 确认日志索引名称正确，避免因索引日期不匹配导致查询不到数据；
• 可以先用Kibana Dev Tools执行上述查询语句，验证是否能命中目标日志，再更新Watcher配置。

内容的提问来源于stack exchange，提问作者mrin9san