如何在Kibana中使用正则表达式搜索指定格式的错误码

Kibana搜索栏支持KQL（Kibana默认查询语言）和Lucene查询语法两种模式，对应正则写法不同：

情况1：使用默认KQL语法 #

KQL正则默认匹配字段任意位置的子串，不需要额外加前后通配符，固定前缀为TED时写法如下：

message: /TED-[0-9]{5}/

如果3位前缀为任意大写字母，可调整为：

message: /[A-Z]{3}-[0-9]{5}/

情况2：切换为Lucene语法 #

Lucene正则默认锚定整个字段的完整内容，需要加.*匹配前缀和后缀的任意字符：

message:/.*TED-[0-9]{5}.*/

常见排查方案 #

如果按上述写法仍无返回结果，可尝试以下操作：

• 若message字段为分词后的text类型，替换为未分词的keyword子字段查询，例：

  message.keyword: /TED-[0-9]{5}/
  

• 需要忽略大小写匹配时，在正则末尾加i参数：

  message: /TED-[0-9]{5}/i
  

内容的提问来源于stack exchange，提问作者Bertolt