Elasticsearch 7.9.3中must与must_not联用遇验证错误求助

1. 绕开客户端直接用curl提交查询 #

报错显示为validation错误，大概率是你使用的客户端（SDK、可视化工具等）自带语法校验逻辑，误将must_not判定为非法字段，而非Elasticsearch本身不支持。直接用curl提交查询到ES节点，验证是否能正常执行：

curl -X POST "http://localhost:9200/content-items-v10/_search" -H 'Content-Type: application/json' -d '{
    "query": {
        "bool": {
            "must": [
                {
                    "multi_match": {
                        "query": "boxing",
                        "fuzziness": 2,
                        "minimum_should_match": 2
                    }
                }
            ],
            "must_not": [
                {
                    "terms_set": {
                        "allowedCountries": {
                            "terms": ["gb", "mx"],
                            "minimum_should_match_script": {
                                "source": "2"
                            }
                        }
                    }
                }
            ],
            "filter": [
                {
                    "range": {
                        "expireTime": {
                            "gt": 1674061907954
                        }
                    }
                },
                {
                    "term": {
                        "region": "row"
                    }
                },
                {
                    "term": {
                        "sourceType": "article"
                    }
                }
            ]
        }
    }
}'

2. 检查索引别名/查询模板的限制 #

如果请求是通过索引别名或查询模板提交的，可能别名或模板中设置了查询字段白名单，禁止使用must_not子句。直接针对目标索引content-items-v10提交查询，跳过别名或模板，验证是否正常。

3. 替换must_not内的查询逻辑实现 #

既然terms_set在must中能正常运行，可尝试用等价逻辑替换原must_not中的terms_set，验证是否能绕过校验：

方案1：用bool嵌套实现相同过滤

{
    "query": {
        "bool": {
            "must": [
                {
                    "multi_match": {
                        "query": "boxing",
                        "fuzziness": 2,
                        "minimum_should_match": 2
                    }
                }
            ],
            "must_not": [
                {
                    "bool": {
                        "filter": [
                            {
                                "terms_set": {
                                    "allowedCountries": {
                                        "terms": ["gb", "mx"],
                                        "minimum_should_match_script": {
                                            "source": "2"
                                        }
                                    }
                                }
                            }
                        ]
                    }
                }
            ],
            "filter": [
                {
                    "range": {
                        "expireTime": {
                            "gt": 1674061907954
                        }
                    }
                },
                {
                    "term": {
                        "region": "row"
                    }
                },
                {
                    "term": {
                        "sourceType": "article"
                    }
                }
            ]
        }
    }
}

方案2：用两个term查询组合替代terms_set

需求是过滤掉同时包含gb和mx的文档，可直接用两个term查询的must组合实现，逻辑更直观：

{
    "query": {
        "bool": {
            "must": [
                {
                    "multi_match": {
                        "query": "boxing",
                        "fuzziness": 2,
                        "minimum_should_match": 2
                    }
                }
            ],
            "must_not": [
                {
                    "bool": {
                        "must": [
                            {"term": {"allowedCountries": "gb"}},
                            {"term": {"allowedCountries": "mx"}}
                        ]
                    }
                }
            ],
            "filter": [
                {
                    "range": {
                        "expireTime": {
                            "gt": 1674061907954
                        }
                    }
                },
                {
                    "term": {
                        "region": "row"
                    }
                },
                {
                    "term": {
                        "sourceType": "article"
                    }
                }
            ]
        }
    }
}

4. 排查第三方插件或自定义配置 #

如果ES节点安装了第三方插件（如安全插件、查询拦截类插件），这些插件可能对查询结构做了限制，禁止使用must_not子句。可临时禁用插件（若环境允许），或查看插件配置文档确认是否有相关限制。

内容的提问来源于stack exchange，提问作者Lee Morris