Elasticsearch v7.16.2时间范围过滤失效问题排查

核心问题1：引用了不存在的字段 #

你的过滤脚本中使用了doc.date.date.getHourOfDay()，但从索引映射和示例文档来看，数据里根本没有名为date的字段，实际可用的时间字段是@timestamp（数据流标准时间戳）、fields.StartDateTime或fields.EndDateTime，这是查询无匹配结果的首要原因。

核心问题2：测试文档不满足methodName匹配条件 #

你查询的must条件要求methodName为GetClientData，但提供的示例文档中methodName是GetPets，这也会导致该示例文档无法被匹配到。

额外注意：时区偏差问题 #

Elasticsearch默认会将日期转成UTC时间存储，如果你要过滤的是本地时间的8-17点，直接用UTC小时范围会出现偏差（比如示例文档的本地时间是12点+02:00，对应UTC是10点）。需要根据实际时区调整脚本中的小时参数，或者在脚本中处理时区转换。

修正后的查询示例 #

方案1：使用@timestamp字段（推荐，数据流标准时间戳） #

{
  "query": {
    "bool": {
      "must": [
        {"match": {"fields.Application": "WebHost"}},
        {"match": {"methodName": "GetClientData"}}
      ],
      "filter": [
        {
          "script": {
            "source": "doc['@timestamp'].value.getHour() >= params.min && doc['@timestamp'].value.getHour() <= params.max",
            "params": {
              "min": 6,  // 根据本地时区与UTC的差值调整，比如本地8点对应UTC6点
              "max": 15
            }
          }
        }
      ]
    }
  }
}

方案2：使用本地时间字段（如fields.StartDateTime） #

若要基于文档中的本地时间字段过滤，需确保该字段被正确识别为date类型：

{
  "query": {
    "bool": {
      "must": [
        {"match": {"fields.Application": "WebHost"}},
        {"match": {"methodName": "GetClientData"}}
      ],
      "filter": [
        {
          "script": {
            "source": "doc['fields.StartDateTime'].value.getHour() >= params.min && doc['fields.StartDateTime'].value.getHour() <= params.max",
            "params": {
              "min": 8,
              "max": 17
            }
          }
        }
      ]
    }
  }
}

验证步骤 #

1. 先移除脚本过滤条件，单独执行must中的匹配规则，确认是否有符合条件的文档（比如临时将methodName改为GetPets测试示例文档）。
2. 通过_search查询查看时间字段的实际存储值，确认UTC与本地时间的差值，再调整脚本中的小时参数。

内容的提问来源于stack exchange，提问作者Irmantas Karkauskas