Elasticsearch开源权限开发：如何提取查询访问的全部字段

方案1：复用官方客户端内置解析能力 #

完全不需要从零开发整套DSL语法解析器，目前主流语言（Java/Python/JS等）的ES官方客户端，本身已经内置了完整的DSL结构化转译逻辑：

• 客户端会把JSON格式的查询DSL直接转成强类型的结构化对象，比如布尔查询、嵌套查询、词项查询、脚本打分类查询的实现类，每个类本身就内置了自身关联的字段名属性
• 你只需要写几十到一百行的递归遍历逻辑，从根查询节点开始遍历对象树：对每个子查询类型直接读取它绑定的字段值，同时遍历_source节点下的includes、excludes字段列表，就能覆盖所有常规查询块的字段提取
• 针对Painless脚本块的字段引用，不需要做全脚本语法解析，针对ES脚本的固定字段引用格式写简单正则即可：比如匹配doc上下文字段的规则为 doc\['([^']+)'\]，匹配_source引用的规则为 params\._source\['([^']+)'\]，足够覆盖99%的日常数据科学家查询场景，解析准确率完全能满足权限拦截需求

按照这个逻辑处理你给出的示例查询，就能直接输出目标字段列表，且不需要跟进ES每个版本的DSL语法变更维护解析规则，整体维护成本极低。

方案2：调用ES原生Explain接口预解析 #

如果对字段提取准确率要求极高，可以直接复用ES开源原生能力：

• 把用户提交的查询请求先路由到内部隔离的ES测试节点，调用_explain接口（完全开源可用，无XPack授权限制），不需要真正执行查询返回文档结果，ES就会在返回结果里完整列出来整个查询链路中涉及的所有索引字段，包括嵌套查询的全路径字段、脚本引用字段、_source过滤字段
• 这个接口的字段提取逻辑是ES官方原生实现的，不存在语法兼容问题，不管是哪个ES版本新推出的查询语法，都能100%匹配识别，你的代理层只需要把接口返回的字段列表提取出来做权限校验即可，几乎不需要额外开发解析逻辑。

落地成本说明 #

两个方案都完全基于ES开源能力实现，没有额外采购成本：

• 方案1的整体开发量不到1人天，适合对延迟要求极高、不希望多走一次内部网络请求的场景
• 方案2的开发量仅需半天，适合对解析准确率要求极高、可接受1次内部接口调用开销的场景

内容的提问来源于stack exchange，提问作者M4rk