Neo4j使用apoc.es.query/apoc.es.get调用Elasticsearch嵌套字段语法错误

核心问题1：Cypher语法规则不兼容带点号的未包裹键名 #

你在查询参数里直接写event.code、winlog.event_id作为映射键时，Cypher会将其解析为「event对象下的code属性」，而非名为event.code的字符串键，直接触发语法错误。所有包含特殊字符（如.、-、空格）的映射键，都需要用反引号`包裹。

核心问题2：apoc.es.query参数位置传参错误 #

你使用的APOC 4.3.x版本中，apoc.es.query的参数顺序为：host地址、索引名、文档类型、查询DSL、可选配置，你错误插入了多余的null/_source参数，导致ES收到的查询结构异常，返回零结果。如果需要指定返回字段，直接将_source配置写在查询DSL中即可。

可直接运行的修正后语句 #

普通字段查询（event.code非nested类型） #

CALL apoc.es.query(
  "http://user:password@ipaddress:9200",
  "logstash*",
  "_doc",
  {
    query: {
      match: {
        `event.code`: 4624
      }
    }
  }
) YIELD value
UNWIND value.hits.hits AS hit
RETURN hit;

nested类型字段查询（如果event在ES中定义为nested类型） #

如果你的ES索引里event是嵌套字段类型，需要用ES的nested查询语法：

CALL apoc.es.query(
  "http://user:password@ipaddress:9200",
  "logstash*",
  "_doc",
  {
    query: {
      nested: {
        path: "event",
        query: {
          match: {
            "event.code": 4624
          }
        }
      }
    }
  }
) YIELD value
UNWIND value.hits.hits AS hit
RETURN hit;

winlog.event_id查询语句 #

CALL apoc.es.query(
  "http://user:password@ipaddress:9200",
  "logstash*",
  "_doc",
  {
    query: {
      match: {
        `winlog.event_id`: 4624
      }
    }
  }
) YIELD value
UNWIND value.hits.hits AS hit
RETURN hit;

额外排查点 #

1. 先在ES的Dev Tools中直接运行相同的DSL，确认DSL本身可以返回结果，排除ES索引字段类型不匹配、数据不存在的问题
2. 检查Neo4j安装目录下conf/apoc.conf中已开启ES调用权限：apoc.es.enabled=true
3. 如果event.code/winlog.event_id是keyword/数值类型，也可以将match替换为term查询，匹配效率更高

内容的提问来源于stack exchange，提问作者cosmologicaljake