如何为index pattern添加runtime field实现字符串转日期并在Kibana正常展示？

问题根因 #

1. 日期格式符使用错误：你脚本中的yyyy-mm-dd里小写mm代表分钟，正确的月份表示需使用大写MM，完整格式应为yyyy-MM-dd HH:mm:ss。单次查询能返回结果大概率是测试数据的月份和分钟数值刚好重合，批量查询、可视化时跨日期范围就会出现匹配失败的情况。
2. 缺少空值和异常捕获逻辑：如果索引中存在createdAt为空、或者日期格式不符合预期的文档，脚本执行会直接抛出异常，Kibana查询遇到执行异常时会返回空结果，而非跳过错误文档。
3. 索引模式时间字段配置缺失：Kibana默认使用@timestamp作为全局时间筛选的基准字段，如果你没有将新配置的exampleColumn设置为索引模式的默认时间字段，时间筛选器的范围不会作用到该字段上，也会导致可视化查询不到结果。
4. 日期解析类选型问题：SimpleDateFormat本身是线程不安全的，高并发查询场景下容易出现非预期的解析异常，Painless官方更推荐使用DateTimeFormatter做日期解析。

修复方案 #

替换索引模式中该runtime字段的脚本为以下内容：

if (doc['createdAt.keyword'].size() != 0) {
  def dateStr = doc['createdAt.keyword'].value;
  try {
    def formatter = DateTimeFormatter.ofPattern("yyyy-MM-dd HH:mm:ss");
    def date = LocalDateTime.parse(dateStr, formatter);
    // 可根据你的实际时区调整ZoneId参数，比如东八区用ZoneId.of("Asia/Shanghai")
    emit(date.atZone(ZoneId.systemDefault()).toInstant().toEpochMilli());
  } catch (Exception e) {
    // 格式错误的文档直接跳过，不抛出异常阻断查询
  }
}

脚本修改完成后进入索引模式设置页面，将「默认时间字段」修改为你新创建的exampleColumn字段，保存配置后刷新Kibana页面即可正常使用该字段做可视化查询。

内容的提问来源于stack exchange，提问作者eric.itzhak