ElasticSearch如何使用查询结果作为条件执行新的搜索

前提：你需要先对原始日志做字段拆分，把整行日志拆成独立的结构化字段（trace_id即请求标识符UUID、event_type即URL/BODY/STATUS/RESULT/MILLIS类型、url、result等），否则所有关联查询都无法实现，拆分可以通过Logstash、Fluentd或者ES Ingest Pipeline完成。

方案1：写入前预聚合（最高效，优先推荐） #

这个方案从根源避免跨文档关联查询的需求，适合还能调整写入流程的场景：

• 用ES的Ingest Pipeline做日志预处理，先通过Grok/Dissect处理器完成字段拆分
• 新增Aggregate处理器，把同一个trace_id对应的所有行日志合并为1个完整的请求文档，聚合后每个文档包含完整的url、请求体、状态、结果、耗时字段
• 后续查询直接过滤url: https://myendpoint.com即可拿到所有对应请求的RESULT内容，直接用terms聚合对result.status.code或者结果内容做分类统计即可

方案2：Terms Lookup 单次查询（无需改现有数据结构） #

如果已经有存量日志，不方便改写入逻辑，可以用ES内置的terms lookup功能，直接在一次查询里完成「查URL拿trace_id→用trace_id查RESULT」的逻辑，示例DSL如下：

{
  "query": {
    "bool": {
      "filter": [
        // 只查RESULT类型的行
        {"term": {"event_type": "RESULT"}},
        {
          "terms": {
            "trace_id.keyword": {
              "index": "你的日志索引名称",
              // 先查询该URL对应的所有trace_id
              "query": {"term": {"url.keyword": "https://myendpoint.com"}},
              "field": "trace_id.keyword"
            }
          }
        }
      ]
    }
  },
  // 直接对结果分类聚合
  "aggs": {
    "result_type": {
      "terms": {
        "field": "result.status.code", // 结构化RESULT直接用字段，非结构化可以用runtime字段解析后聚合
        "size": 100
      }
    }
  }
}

注意：该方案要求trace_id和url字段为keyword类型，且查询的trace_id数量不要超过index.max_terms_count的默认限制（默认65536，足够大多数场景使用）

方案3：EQL序列查询（适合日志事件分析场景） #

如果你的ES版本≥7.9，也可以用ES内置的EQL（事件查询语言）直接实现同trace_id的事件关联查询，示例语句：

any where event_type == "URL" and url == "https://myendpoint.com"
followed by any where trace_id == trace_id and event_type == "RESULT"

该语句会直接返回所有匹配URL对应的RESULT行，无需手动做关联逻辑。

方案4：Parent/Child关联查询 #

如果需要更灵活的关联查询需求，可以给索引加join类型字段，把同一个trace_id的URL行设为父文档，其他类型行设为子文档，后续用has_parent查询即可直接查到对应URL的所有RESULT子文档，该方案灵活性高但查询性能比前几个方案低，适合有复杂关联查询需求的场景。

内容的提问来源于stack exchange，提问作者Edanna