如何编写Kibana Filter查询DSL检测Java应用日志异常

匹配失效核心原因 #

默认Elasticsearch对log_message这类text类型字段使用标准分词器，分词阶段会自动过滤掉换行、制表符、连续空格等空白字符，这类特征不会存入倒排索引，因此直接搜索\n\tat字符串无法命中结果。
匹配栈帧特征的思路完全可行，以下是可直接落地的实现方案：

方案1：无索引改造 快速实现 #

无需重建索引、无需修改采集链路，直接利用动态映射默认生成的log_message.keyword不分词子字段（存储字段完整原始值）做正则匹配，适配绝大多数场景。
Watcher中使用的查询DSL如下：

{
  "query": {
    "bool": {
      "filter": [
        {
          "range": {
            "@timestamp": {
              "gte": "now-10m"
            }
          }
        },
        {
          "regexp": {
            "log_message.keyword": {
              "value": ".*\\n[ \\t]+at .*",
              "flags": "ALL"
            }
          }
        }
      ]
    }
  }
}

规则说明 #

• 正则.*\n[ \t]+at .*匹配Java异常栈的固定特征：换行符后跟随任意数量的空格/制表符，再紧跟at 关键字，能覆盖所有Java异常堆栈场景，不会把普通日志中出现的"at"单词误判为异常，误报率极低
• 查询时间范围建议控制在10分钟以内，避免regexp查询扫描过多数据影响性能，完全满足实时告警需求
• 如果索引mapping中未自动生成.keyword子字段，可替换为wildcard查询逻辑，匹配逻辑完全一致

方案2：高性能长期方案 #

如果日志量级较大，建议在日志采集层（Logstash/Filebeat/Ingest Pipeline）提前做异常识别，新增独立标记字段，查询时直接匹配标记字段，性能最优无额外开销。
以Logstash过滤阶段配置为例：

filter {
  # 匹配Java异常栈特征打标记
  if [log_message] =~ /\n[ \t]+at / {
    mutate {
      add_field => { "is_java_exception" => true }
    }
  }
}

对应Watcher查询DSL可简化为：

{
  "query": {
    "bool": {
      "filter": [
        { "range": { "@timestamp": { "gte": "now-10m" } } },
        { "term": { "is_java_exception": true } }
      ]
    }
  }
}

常见避坑点 #

• 不要直接对分词的log_message（text类型）字段使用match/query_string搜索特殊空白字符，分词阶段这类字符已经被丢弃，不可能命中
• 不要仅匹配"Exception"关键字做告警，普通业务日志、类名打印、异常说明文本中经常出现该关键词，误报率极高
• 如果栈帧行前是多个空格而非制表符，直接匹配\n\tat会漏报，上述正则同时兼容空格、制表符两种场景

内容的提问来源于stack exchange，提问作者Abhishek Sharma