Elasticsearch如何删除嵌套数组matches中指定hostname的元素

你要实现的是批量更新所有文档，移除matches数组内的指定元素，而非删除整个文档，直接调用_update_by_query接口配合Painless脚本即可完成，不需要额外安装插件。

可直接执行的请求（适配ES 7.x/8.x主流版本） #

POST myIndex/_update_by_query?conflicts=proceed
{
  "query": {
    "nested": {
      "path": "matches",
      "query": {
        "term": {
          "matches.hostname.keyword": "hostnameC.com"
        }
      }
    }
  },
  "script": {
    "source": """
      if (ctx._source.matches != null) {
        ctx._source.matches.removeIf(matchItem -> matchItem.hostname == params.del_host);
      }
    """,
    "params": {
      "del_host": "hostnameC.com"
    }
  }
}

语句说明 #

• 接口路径加conflicts=proceed参数：遇到版本冲突时自动跳过继续执行，不会因为个别文档的版本冲突中断全量任务
• query部分做前置过滤：只筛选出matches数组中确实存在目标hostname的文档，避免遍历全量1万条无匹配的文档，大幅提升执行效率
  • 如果你的matches.hostname字段映射本身就是keyword类型，不需要加.keyword后缀，直接写matches.hostname即可；如果是text类型带默认keyword子字段，就保留现有写法
• script部分是核心更新逻辑：
  • 先判断matches字段是否存在，避免空值报错
  • 用数组自带的removeIf方法直接过滤掉hostname匹配目标值的元素，比手写循环更简洁高效
  • 待删除的hostname通过params传参，不要硬编码在脚本内，避免ES重复编译脚本浪费资源

执行注意事项 #

• 首次执行建议先加"size": 10参数放在请求体最外层，只更新10条文档做验证，确认结果符合预期后再去掉size参数全量执行
• 1万条数据属于极小数据量，正常情况下数秒即可执行完成，接口返回结果中会明确标注更新成功、失败的文档条数
• 如果你的matches字段是普通对象数组而非nested嵌套类型，只需要把query部分的nested查询替换成普通term查询即可，脚本逻辑不需要改动：

"query": {
  "term": {
    "matches.hostname.keyword": "hostnameC.com"
  }
}

内容的提问来源于stack exchange，提问作者Henri