Elasticsearch在Kibana用KQL/Lucene正则查询报错如何解决？

报错原因 #

你遇到的语法报错是因为KQL解析规则中，不支持单引号包裹的正则表达式写法，未被正确识别的转义符\触发了语法校验错误。

可用解决方案 #

方案1：沿用KQL语法查询 #

KQL的正则匹配需要使用=~运算符，且正则规则需要用正斜杠/包裹，不需要额外加引号。
匹配\s5..\s规则的正确写法：

log:"api.mydomain.com" AND log=~/\s5..\s/

如果需要精准匹配| 500 |格式，可使用更严谨的正则：

log:"api.mydomain.com" AND log=~/\|\s5\d{2}\s\|/

注意事项：

• 正则内容必须用/包裹，不需要额外加单/双引号
• =~是KQL专属的正则匹配运算符，必须显式指定匹配的字段（这里为log字段，不可省略）
• 正则中的特殊字符比如|需要用\转义

方案2：切换为Lucene语法查询 #

如果更习惯用Lucene语法，可先切换查询模式：点击查询输入框右侧的KQL按钮，关闭「KQL 开关」即可切换为Lucene模式。
匹配\s5..\s规则的正确写法：

log:"api.mydomain.com" AND log:/\s5..\s/

匹配| 500 |格式的写法：

log:"api.mydomain.com" AND log:/\|\s5\d{2}\s\|/

内容的提问来源于stack exchange，提问作者UDIT JOSHI