如何在Elasticsearch中对聚合结果执行过滤查询？

Elasticsearch 原生不支持对聚合产出的结果直接执行二次查询。聚合的执行逻辑是基于已匹配查询条件的文档集做统计计算，本身没有提供对聚合桶结果做检索的内置能力。
你完全不需要走「先聚合全量唯一值再做通配符匹配」的绕路方案，针对你的场景有两种性能更好的原生实现方式，最终效果和你预期的完全一致。

方案1：通配符查询+字段折叠（性能最优，优先选） #

你的核心需求是拿到匹配通配符规则的字段去重值，根本不需要先聚合全量唯一值。直接把通配符条件放在查询阶段，配合字段折叠能力直接返回去重结果即可，能避免全量聚合的额外开销：

GET /你的索引名/_search
{
  "query": {
    "wildcard": {
      "目标字段名.keyword": {
        "value": "*通配符匹配规则*",
        "case_insensitive": true
      }
    }
  },
  "collapse": {
    "field": "目标字段名.keyword"
  },
  "_source": ["目标字段名"],
  "size": 10000
}

参数说明：

• case_insensitive：可选参数，7.10及以上版本支持，设置为true时通配符匹配忽略大小写
• size：控制返回的去重值数量，默认上限1万条，如果需要返回更多值可以调整index.max_result_window配置，或者用search_after做分页拉取
• 字段必须用keyword类型，如果你的目标字段是text类型，直接使用ES自动生成的.keyword子字段即可

这个方案的优势是ES会直接在倒排索引层完成通配符匹配，只对匹配到的文档做去重，在数据量大、重复值多的场景下，性能比全量聚合高几个数量级。

方案2：带通配符过滤的terms聚合（适合需要统计值频次的场景） #

如果你除了拿到去重的字段值，还需要统计每个值对应的文档数量，可以直接在terms聚合中通过include参数传入通配符规则，聚合阶段就会只返回匹配规则的桶，不需要拉取全量聚合结果再自行过滤：

GET /你的索引名/_search
{
  "size": 0,
  "aggs": {
    "matched_unique_values": {
      "terms": {
        "field": "目标字段名.keyword",
        "include": "*通配符匹配规则*",
        "size": 10000
      }
    }
  }
}

特殊场景处理 #

如果你需要对聚合结果做通配符之外的复杂过滤，且字段去重后的总基数不大，可以用composite聚合分页拉取全量唯一值，在业务层自行做过滤逻辑，示例：

GET /你的索引名/_search
{
  "size": 0,
  "aggs": {
    "all_unique_values": {
      "composite": {
        "size": 1000,
        "sources": [
          {
            "target_field": {
              "terms": {
                "field": "目标字段名.keyword"
              }
            }
          }
        ]
      }
    }
  }
}

后续分页请求只需要把上一次返回结果中的after_key带入请求体，即可逐页拉取完全部唯一值。

注意：所有聚合、折叠操作依赖的字段必须是keyword类型，text类型的字段会被分词，无法返回精确的原始字段值，也不支持折叠、terms聚合操作。

内容的提问来源于stack exchange，提问作者Hotshot399