ElasticSearch must与Should组合查询问题求助

你的查询逻辑存在本质错误：你试图让单条文档同时满足Event='E1'和Event='E2'/E3/E4，但你的数据中每条文档仅包含一个Event值，自然无法匹配到结果。你实际需要的是找出同一个用户既产生过E1事件，又产生过E2/E3/E4中至少一个事件的相关文档。

方式1：先聚合筛选符合条件的用户，再查询对应文档 #

第一步：聚合找出满足条件的用户 #

{
  "size": 0,
  "aggs": {
    "group_by_user": {
      "terms": {
        "field": "User.keyword"
      },
      "aggs": {
        "has_E1": {
          "filter": {
            "match": {
              "Event": "E1"
            }
          }
        },
        "has_E2_E3_E4": {
          "filter": {
            "bool": {
              "should": [
                {"match": {"Event": "E2"}},
                {"match": {"Event": "E3"}},
                {"match": {"Event": "E4"}}
              ],
              "minimum_should_match": 1
            }
          }
        },
        "valid_users": {
          "bucket_selector": {
            "buckets_path": {
              "e1_count": "has_E1._count",
              "others_count": "has_E2_E3_E4._count"
            },
            "script": "params.e1_count > 0 && params.others_count > 0"
          }
        }
      }
    }
  }
}

这个聚合会返回所有同时有E1和E2/E3/E4事件的用户（比如示例中的User A）。

第二步：查询该用户的所有事件 #

拿到聚合结果中的用户后，用以下查询获取对应文档：

{
  "from": 0,
  "size": 10,
  "query": {
    "bool": {
      "must": [
        {"match": {"User": "A"}},
        {
          "bool": {
            "should": [
              {"match": {"Event": "E1"}},
              {"match": {"Event": "E2"}},
              {"match": {"Event": "E3"}},
              {"match": {"Event": "E4"}}
            ]
          }
        }
      ]
    }
  }
}

方式2：使用bool查询结合minimum_should_match（适用于已知目标用户的场景） #

如果已经明确目标用户，可通过一次查询直接获取符合条件的事件文档：

{
  "from": 0,
  "size": 10,
  "query": {
    "bool": {
      "must": [
        {"match": {"User": "A"}},
        {
          "bool": {
            "should": [
              {"match": {"Event": "E1"}},
              {"match": {"Event": "E2"}},
              {"match": {"Event": "E3"}},
              {"match": {"Event": "E4"}}
            ],
            "minimum_should_match": 2 // 要求至少匹配2个条件，即E1加上另外一个事件
          }
        }
      ]
    }
  }
}

• ElasticSearch的must/should是针对单条文档的字段匹配逻辑，无法跨文档判断用户的多事件关联，必须通过聚合实现跨文档的条件判断。
• 如果User字段是文本类型，聚合时需使用User.keyword，避免分词导致分组错误。

内容的提问来源于stack exchange，提问作者Pash0002