Elasticsearch含特殊字符MAC地址精确匹配查询异常问题

看来你碰到了Elasticsearch里MAC地址查询的典型坑——分词机制导致term查询失效的问题，我来帮你理清楚原因和解决方案：

问题根源拆解 #

• 你用match查询时，Elasticsearch会把查询的MAC地址拆成12、34、56等子串去匹配，所以会返回所有包含这些子串的文档，这就是为什么xx:12:xx:xx:xx:xx这类结果也会被命中。
• 换成term查询后没结果，是因为你的origin.mac字段大概率是默认的text类型，数据存入时已经被分词器拆成了多个独立的子词，而term是精确匹配整个词项的，自然找不到完整的MAC地址对应的词项。
• Kibana里直接搜origin.mac: "12:34:56:78:90:ab"能查到，是因为Kibana默认用的是match查询逻辑（会自动处理分词），并非严格的精确匹配。

可行的解决办法 #

方法1：使用字段的keyword子字段（优先推荐） #

大多数情况下，Elasticsearch会给text类型字段自动生成一个同名的keyword子字段，用来存储未分词的完整内容。你可以直接针对这个子字段做精确查询：

{
  "query": {
    "bool": {
      "must": [
        {"term": {"origin.mac.keyword": "12:34:56:78:90:ab"}},
        {"range": {"timestamp": {"gte": "now-90d/d","lte": "now/d"}}}
      ]
    }
  }
}

这个方案不需要修改现有数据和映射，直接就能用。

方法2：修改字段映射为keyword类型 #

如果origin.mac本来就是用来存储MAC地址这类需要精确匹配的标识符，那最好把它的映射改成keyword类型，这样数据存入时不会被分词，后续查询会更高效：

注意：如果索引里已有数据，修改映射后需要重新导入数据才能生效

PUT /你的索引名称/_mapping
{
  "properties": {
    "origin.mac": {
      "type": "keyword"
    }
  }
}

修改完成后，直接用你之前的term查询就能正常命中目标文档了。

方法3：使用match_phrase查询（临时替代方案） #

如果暂时无法修改映射或使用keyword子字段，也可以用match_phrase查询，它会匹配连续的词项序列，对于格式固定的MAC地址来说，也能得到正确的结果：

{
  "query": {
    "bool": {
      "must": [
        {"match_phrase": {"origin.mac": "12:34:56:78:90:ab"}},
        {"range": {"timestamp": {"gte": "now-90d/d","lte": "now/d"}}}
      ]
    }
  }
}

内容的提问来源于stack exchange，提问作者Golden