ElasticSearch如何按@timestamp时间戳查询获取最新40条数据

原查询存在的语法与逻辑问题 #

• 多查询条件未通过bool组合查询封装：ES不支持在query节点下直接平级放置多个子查询，会直接报JSON解析/语法错误
• exists子句末尾缺失分隔逗号，JSON结构不合法
• 时间单位拼写错误：ES时间表达式中分钟的单位为m，mn属于非法单位，会导致时间范围查询逻辑失效
• 缺失显式排序规则：仅配置size: 40不会自动返回最新数据，ES默认按文档内部评分排序，不指定时间倒序规则无法保证返回结果是最新条目
• 范围查询参数写法不规范：官方推荐使用gte/lte替代from/to做时间范围边界定义，语义更清晰，兼容性更好

正确查询语句 #

{
  "size": 40,
  "sort": [
    {
      "@timestamp": {
        "order": "desc"
      }
    }
  ],
  "query": {
    "bool": {
      "must": [
        {
          "exists": {
            "field": "transaction.domain"
          }
        },
        {
          "range": {
            "@timestamp": {
              "gte": "now-30m",
              "lte": "now"
            }
          }
        }
      ]
    }
  }
}

逻辑说明 #

• sort配置指定按@timestamp字段倒序排列，时间越新的文档排序越靠前，配合size: 40参数即可截取匹配条件的最新40条数据
• bool.must数组内的条件为逻辑与关系，即返回结果需要同时满足transaction.domain字段存在、@timestamp在最近30分钟范围内两个要求
• 如果不需要限制30分钟时间范围、只要全量数据中最新的40条带transaction.domain字段的数据，直接删除bool.must里的range子句即可

内容的提问来源于stack exchange，提问作者Victoire