Elasticsearch使用now-30m查询无法返回最近30分钟数据求助

• Logstash与Elasticsearch时区不匹配
  这是最符合你异常现象的原因，ES中now关键字默认使用UTC时间计算，而Logstash的JVM默认继承操作系统时区，如果两侧时区不一致，会出现整小时级别的时间偏移，导致查询范围远大于30分钟。
  你可以先在Logstash的JVM配置文件（jvm.options）中添加如下参数，保证和ES侧时区统一：

-Duser.timezone=UTC

如果业务需要使用特定时区，也可以直接在range查询中显式指定time_zone参数：

"range": {
  "createdDate": {
    "gte": "now-30m",
    "time_zone": "Asia/Shanghai"
  }
}

• Logstash增量同步配置冲突
  如果你在Elasticsearch输入插件的配置中开启了tracking_column、use_column_value等增量同步参数，Logstash会自动在查询逻辑中叠加上次同步的位置过滤规则，可能覆盖你自定义的时间范围条件。可以先注释相关增量配置，删除Logstash默认生成的sincedb记录文件（默认路径为Logstash数据目录下plugins/inputs/elasticsearch/目录）后重启进程验证。

• date字段解析异常
  虽然你的mapping声明了createdDate为date类型，但如果索引配置了ignore_malformed: true，不符合默认date格式的脏数据会被忽略解析，无法被range条件正常过滤。可以执行如下查询验证是否存在解析失败的文档：

GET 替换为你的索引名/_search
{
  "query": {
    "script": {
      "script": "doc['createdDate'].size() == 0"
    }
  }
}

如果返回结果不为空，需要先修复数据写入阶段的日期格式问题。

内容的提问来源于stack exchange，提问作者slj