Elasticsearch嵌套复合聚合如何排除指定terms？

看起来你遇到的问题是在嵌套字段的Composite聚合中，尝试排除geo.dest字段包含"cancel"的term但未生效。我来帮你分析下原因并给出可行的解决方案：

为什么直接用exclude可能不生效？ #

在Elasticsearch 6.7中，Composite聚合的terms源确实支持exclude参数，但它默认是精确匹配的。如果你要排除的是包含"cancel"的term（而不是值完全等于"cancel"的），直接写"exclude":"cancel"只会排除值精确为"cancel"的term，无法匹配包含该字符串的其他值。

另外需要确认你的查询结构——你第一个查询外层缺少了aggs键（应该是笔误），第二个查询的结构是正确的，但exclude的写法需要调整才能满足你的需求。

解决方案1：使用正则表达式匹配包含"cancel"的term #

如果你的需求是排除所有geo.dest值中包含"cancel"的term，可以将exclude设置为正则表达式，匹配任意包含该子串的字段值：

{
  "size": 0,
  "aggs": {
    "geo": {
      "nested": {
        "path": "geo"
      },
      "aggs": {
        "table": {
          "composite": {
            "size": 1000,
            "sources": [
              {
                "stk1": {
                  "terms": {
                    "field": "geo.src"
                  }
                }
              },
              {
                "stk2": {
                  "terms": {
                    "field": "geo.dest",
                    "exclude": ".*cancel.*"
                  }
                }
              }
            ]
          }
        }
      }
    }
  }
}

这个写法会在聚合阶段直接过滤掉所有geo.dest包含"cancel"的term，符合你只排除特定聚合元素的要求。

解决方案2：使用Bucket Selector聚合过滤结果 #

如果上述方法因为版本兼容性问题（比如嵌套字段场景下Composite的exclude支持有限）无法生效，可以在Composite聚合之后添加bucket_selector聚合，手动过滤掉包含"cancel"的bucket：

{
  "size": 0,
  "aggs": {
    "geo": {
      "nested": {
        "path": "geo"
      },
      "aggs": {
        "table": {
          "composite": {
            "size": 1000,
            "sources": [
              {
                "stk1": {
                  "terms": {
                    "field": "geo.src"
                  }
                }
              },
              {
                "stk2": {
                  "terms": {
                    "field": "geo.dest"
                  }
                }
              }
            ]
          },
          "aggs": {
            "exclude_cancel_buckets": {
              "bucket_selector": {
                "buckets_path": {
                  "destTerm": "stk2"
                },
                "script": "!params.destTerm.contains('cancel')"
              }
            }
          }
        }
      }
    }
  }
}

这个方案会先执行完整的Composite聚合，再通过脚本判断每个bucket的stk2值是否包含"cancel"，只保留不包含该字符串的bucket，完全满足你“省略包含cancel的数组元素而非整个文档”的需求。

额外注意事项 #

• 如果你需要排除的是精确等于"cancel"的term，直接用"exclude": "cancel"即可，但要注意字段值的大小写（比如Cancel和cancel会被视为不同值）。
• 两种方案都是在嵌套上下文内执行的，只会针对geo数组中的单个元素进行过滤，不会排除整个父文档。

内容的提问来源于stack exchange，提问作者AbhiArora