Elasticsearch中keyword类型存储分析机制及搜索匹配疑问

你对Elasticsearch keyword/text字段的索引存储逻辑认知是正确的，出现这个不符合预期的结果，是两个容易被忽略的机制共同导致的：

• 你使用的query_string查询未显式指定搜索字段。在你用的5.6.4版本中，query_string的默认配置项index.query.default_field值为*，也就是会遍历索引内所有字段执行匹配，不会自动区分字段类型适配匹配规则。
• 未加任何语法修饰的裸搜索词，在query_string中不会触发keyword字段的精确匹配逻辑。针对keyword类型字段，query_string默认会对输入的搜索词做基础分析（小写归一化）后，隐式构造前后通配的子串匹配逻辑，而不是拿搜索词和字段存储的完整原值做全等匹配，这就是为什么存了包含"keyword"整串的文档会被命中。

补充说明：keyword字段必须完整精确匹配才能命中的规则，仅在你显式使用精确匹配语义的查询时生效，不是所有查询碰到keyword字段都会自动走精确匹配。

你可以执行下面两组查询对比结果，就能验证上述逻辑：

• 用标准的term查询显式匹配keyword类型的description字段，此时只有字段值完全等于"keyword"的文档才会命中，值为包含"keyword"的长文本的文档不会被返回：

POST sample_index/_search
{
  "query": {
    "term": {
      "description": "keyword"
    }
  }
}

• 给query_string显式指定搜索字段，并且给搜索词加双引号标记为精确短语匹配，此时也只会返回完整值匹配的文档：

POST sample_index/_search
{
  "query": {
    "query_string": {
      "default_field": "description",
      "query": "\"keyword\""
    }
  }
}

• 针对keyword类型字段做精确值匹配时，优先使用term/terms查询，不要依赖query_string的默认逻辑，避免隐式规则导致不符合预期的匹配结果。
• 5.6.x属于非常早期的版本，后续6.x、7.x及以上版本已经调整了query_string匹配keyword字段的默认逻辑，不会再出现这种隐式子串匹配的情况，但生产环境还是建议显式指定查询字段、匹配规则，不要依赖默认配置。

内容的提问来源于stack exchange，提问作者Allan