如何在Elasticsearch中查询Price字段值大于全索引平均值的文档

Elasticsearch 本身不支持你尝试的嵌套子查询语法，该需求可以通过以下几种方案实现，可根据你的业务场景选择：

这是生产环境最常用的实现方式，两次查询均走ES原生优化，无额外性能损耗：

1. 第一步先发起平均值聚合查询，获取全索引Price字段的平均值：

GET /myIndex/_search
{
  "size": 0,
  "aggs": {
    "avg_price": {
      "avg": {
        "field": "Price"
      }
    }
  }
}

2. 拿到返回的平均值数值后，再发起第二次范围查询筛选符合要求的文档：

GET /myIndex/_search
{
  "query": {
    "range": {
      "Price": {
        "gt": 第一步拿到的平均值
      }
    }
  }
}

你可以用任意的ES客户端（Python/Node.js/.Net等）实现这两次请求的逻辑，实现成本极低。

如果你的索引数据量在百万级以内，不想发起两次请求，可以通过一次带聚合脚本的查询实现：

GET /myIndex/_search
{
  "size": 0,
  "aggs": {
    "avg_price": {
      "avg": {
        "field": "Price"
      }
    },
    "docs_above_avg": {
      "terms": {
        "field": "_id",
        "size": 10000 // 该值需要大于等于索引总文档数，数据量过大会有性能问题
      },
      "aggs": {
        "current_price": {
          "max": {
            "field": "Price"
          }
        },
        "filter_above_avg": {
          "bucket_selector": {
            "buckets_path": {
              "price": "current_price",
              "avg_price": "parent>avg_price"
            },
            "script": "params.price > params.avg_price"
          }
        },
        "doc_info": {
          "top_hits": {
            "size": 1
          }
        }
      }
    }
  }
}

该方案的缺点是单聚合默认最多返回1万条结果，数据量过大时性能会明显低于两次查询方案。

如果该查询是你的业务高频调用接口，建议预计算平均值避免每次查询都扫描全索引：

• 写入/更新/删除文档时异步更新缓存中的平均值，查询时直接用缓存值发起范围查询
• 也可以用ES内置的Transform功能定时生成统计指标，查询时直接关联指标值

你不需要额外引入Logstash这类ETL工具实现该需求，只会额外增加链路复杂度。

内容的提问来源于stack exchange，提问作者Gio