Elasticsearch聚合桶总doc_count是否可能大于查询总hits值？

结论 #

该现象属于正常情况，和聚合使用的字段类型、聚合类型直接相关，并不代表查询或聚合逻辑出错。

导致该现象的核心原因 #

• 多值（数组）字段的聚合计数规则：Elasticsearch没有单独的数组类型，只要单个文档的某个字段存储了多个值，就会默认按数组处理。针对这类字段做聚合时，单个文档的多个值会分别匹配到对应的聚合桶，每个匹配的桶的doc_count都会加1。举例来说，单个文档的目标聚合字段值为["电商","社交","工具"]，聚合时该文档会分别计入电商、社交、工具三个桶的计数，单篇文档就贡献了3次计数，最终所有桶的doc_count总和自然会高于查询返回的总hits数。
• Nested嵌套聚合的计数逻辑：如果你的聚合使用了nested嵌套语法，聚合统计的是嵌套子文档的数量，而查询返回的hits是父文档的数量。单篇父文档可能包含多个嵌套子文档，这种场景下聚合计数总和也会远高于父文档的总hits数。

原有认知的适用边界 #

你之前认为「总hits始终大于等于聚合桶doc_count总和」的判断，仅适用于单值非数组、无嵌套结构的普通字段聚合场景。该场景下每篇文档最多只能进入一个聚合桶，没有对应字段值的文档不会计入任何桶，因此总和才会小于等于总hits。

验证方法 #

你可以通过以下操作快速定位具体原因：

1. 查看目标聚合字段的实际存储情况：

# 查看字段映射规则
GET 你的索引名称/_mapping/field/你用于聚合的字段名

# 随机查询一篇命中的文档，查看该字段的实际值
GET 你的索引名称/_doc/任意命中的文档ID

2. 检查你的聚合DSL中是否使用了nested关键字声明嵌套聚合。

内容的提问来源于stack exchange，提问作者Ryan Tee