Elastic Cloud v7.16.2中aggs聚合查询报错求助

核心错误原因 #

你所有问题的根源都是聚合字段（aggs）的层级位置错误，或者在发送请求时错误地将完整DSL塞进了query参数中，而非作为请求体的顶级结构。Elasticsearch的_search请求里，query（查询条件）和aggs（聚合规则）是平级的顶级字段，不能嵌套、也不能额外套body这类不存在的层级。

逐个纠正你的错误写法 #

1. 第一个示例的DSL本身是正确的
   你写的这段JSON结构完全符合ES规范，但报错[bool] malformed query说明你大概率是把这段完整DSL错误地放到了仅支持输入查询语句的输入框（比如Kibana Discover的搜索框），或者在客户端请求时把整个内容作为query字段的值发送了。正确的做法是将这段JSON作为完整请求体发送给_search接口。

2. 第二个示例错误地给aggs套了body字段
   ES的请求体里不存在body这个顶级字段，直接把aggs和query平级放置即可，不需要额外嵌套。

3. 第三个基础aggs示例的DSL是正确的
   和第一个示例一样，报错说明你发送请求的方式有误，确保是将完整DSL作为请求体发送，而非仅作为query参数的内容。

4. 第四个示例把aggs嵌套到query内部
   query字段只能存放查询逻辑，不能包含聚合规则，aggs必须和query平级，所以会报unknown field [aggs]。

正确的写法示例 #

以你第一个需求为例，正确的请求应该是这样（假设你查询的索引是your-index）：

GET /your-index/_search
{
    "query": {
        "bool": {
            "filter": [
                {
                    "range": {
                        "json.@timestamp": {
                            "gt": "2021-08-22T00:00:00.000Z",
                            "lt": "2022-10-22T13:41:09.000Z"
                        }
                    }
                },
                {
                    "term": {
                        "json.path": "/api/v1/discover"
                    }
                },
                {
                    "wildcard": {
                        "container.image.name": {
                            "value": "*prod*"
                        }
                    }
                }
            ]
        }
    },
    "aggs": {
        "totalCount": {
            "sum": {
                "field": "count"
            }
        }
    }
}

额外注意事项 #

• 如果用Kibana Dev Tools发送请求，要确保请求方法（GET）、索引路径和请求体的格式正确，不要只在查询框里输入完整DSL。
• 如果用客户端SDK（比如Python/Java），要确认是将完整DSL作为body参数传递，而非塞进query参数中。

内容的提问来源于stack exchange，提问作者thiago