Elasticsearch：基于嵌套数组字段筛选文档并提取对应嵌套字段值

你可以通过两种方式实现该需求，可根据查询频率选择对应方案：

方案1：查询时动态计算（适合低频率查询场景） #

无需修改索引结构，直接在查询时通过 runtime 字段动态计算目标值，再基于该字段做聚合即可，示例DSL如下：

{
  "runtime_mappings": {
    "target_important_info": {
      "type": "integer",
      "script": {
        "source": """
          def root_data = doc['data'].value;
          // 遍历所有nested1元素
          for (def item1 : params._source.nested1) {
            // 遍历当前nested1下的nested2数组
            for (def item2 : item1.nested2) {
              // 匹配到第一个符合条件的项直接返回对应值
              if (item2.data1 == root_data) {
                emit(item2.important_info);
                return;
              }
            }
          }
          // 无匹配项返回空
          emit(null);
        """
      }
    }
  },
  // 此处替换为你需要的聚合逻辑，以下为terms聚合示例
  "aggs": {
    "important_info_stats": {
      "terms": {
        "field": "target_important_info",
        "size": 10
      }
    }
  }
}

方案2：写入时预处理（适合高频率查询场景） #

如果该字段查询频率很高，建议用Ingest Pipeline在文档写入时就将计算好的值写入根字段，避免每次查询重复计算，性能更优：

1. 首先创建预处理管道

PUT _ingest/pipeline/calculate_important_info
{
  "processors": [
    {
      "script": {
        "source": """
          def root_data = ctx.data;
          for (def item1 : ctx.nested1) {
            for (def item2 : item1.nested2) {
              if (item2.data1 == root_data) {
                ctx.important_info = item2.important_info;
                return;
              }
            }
          }
          ctx.important_info = null;
        """
      }
    }
  ]
}

2. 后续写入文档时指定上述管道即可，后续聚合直接使用根字段important_info即可。

注意事项 #

• 若你的nested1、nested2字段映射为nested类型，脚本访问原始嵌套结构统一使用params._source即可，无需调整其他逻辑。
• 取值逻辑完全遵循你指定的规则：找到第一个data1与根data相等的nested2元素就返回对应important_info值，无匹配则返回空。

内容的提问来源于stack exchange，提问作者Dima Valeriu