Elasticsearch索引创建时如何限制字段值并处理非法输入？

当然可以实现，核心逻辑在Elasticsearch层面配置，Kibana主要负责可视化展示，下面给你三种实用方案：

1. Ingest Pipeline 预处理（写入时修正，推荐） #

这是最直接的方式，在文档写入ES前就完成字段校验和修正，把不符合要求的值设为null或者直接移除字段。

步骤： #

• 先创建一个 ingest pipeline，用script处理器判断字段值是否在允许列表里：

PUT _ingest/pipeline/flag-validation-pipeline
{
  "processors": [
    {
      "script": {
        "source": """
          def allowed_values = ['yellow', 'green', 'red'];
          if (ctx.flag != null && !allowed_values.contains(ctx.flag.toLowerCase())) {
            ctx.flag = null; // 不符合就设为null，也可以写 ctx.remove('flag') 直接移除字段
          }
        """
      }
    }
  ]
}

• 创建索引时指定这个pipeline作为默认写入管道：

PUT my_index
{
  "settings": {
    "index.default_pipeline": "flag-validation-pipeline"
  },
  "mappings": {
    "properties": {
      "flag": {
        "type": "keyword"
      }
    }
  }
}

这样写入文档时，只要flag的值不在允许列表里，就会被自动设为null或者移除。

2. Runtime Field 查询时处理（不修改原始数据） #

如果不想修改原始文档，只想在查询展示时把不符合的值隐藏或设为null，可以用runtime field：

PUT my_index/_mapping
{
  "runtime": {
    "valid_flag": {
      "type": "keyword",
      "script": """
        def allowed_values = ['yellow', 'green', 'red'];
        def original_flag = doc['flag'].size() > 0 ? doc['flag'].value : null;
        if (original_flag != null && allowed_values.contains(original_flag.toLowerCase())) {
          emit(original_flag);
        } else {
          emit(null);
        }
      """
    }
  }
}

之后查询时用valid_flag字段代替原始的flag，不符合要求的值就会显示为null，原始flag字段的数据不会被修改。

3. 字段验证规则（拒绝不符合的文档，可选） #

如果你的需求是拒绝写入不符合要求的文档，而不是修正，可以在字段mapping里加validate规则：

PUT my_index
{
  "mappings": {
    "properties": {
      "flag": {
        "type": "keyword",
        "validate": {
          "allowed_values": ["yellow", "green", "red"]
        }
      }
    }
  }
}

这种情况下，写入不符合的值会直接返回错误，文档不会被存入ES，适合严格校验的场景，但不符合你要设为null的需求，所以作为补充方案。

Kibana这边只要基于处理后的字段（比如valid_flag或者修正后的flag）做可视化就行，不需要额外配置。

内容的提问来源于stack exchange，提问作者Uriel Arenas