聚合查询中何时出现"buckets": []？嵌套聚合查询结果异常咨询

看起来你在Elasticsearch中执行嵌套聚合时，遇到了字段相关的不一致问题——针对src_ip字段的查询能返回正常的单bucket结果（buckets明确匹配内容），但切换为src_port字段时却出现了异常结果。结合你提到的所有字段均为keyword类型的映射，我来帮你拆解可能的原因和实用的排查方向：

一、先确认聚合结构（方便精准分析） #

假设你的嵌套聚合大致是类似这样的结构（如果实际结构不同，可以调整后对照）：

{
  "size": 0,
  "aggs": {
    "outer_nested_agg": {
      "nested": {
        "path": "your_nested_field_path"
      },
      "aggs": {
        "target_field_agg": {
          "terms": {
            "field": "a_field_which_changes" // 此处切换为src_ip或src_port
          }
        }
      }
    }
  }
}

二、针对src_port查询异常的核心排查点 #

1. 字段数据本身的格式问题 #

虽然映射是keyword，但src_port的实际数据可能存在不一致：

• 部分文档的src_port可能是空字符串、null，或者包含非数字字符（比如"80/"、"http-80"），这会导致聚合生成多个不符合预期的bucket，甚至空bucket。
• 你可以先单独执行一个简单的terms聚合，查看src_port的数据分布：

{
  "size": 0,
  "aggs": {
    "src_port_distribution": {
      "terms": {
        "field": "src_port",
        "size": 100 // 足够大的size查看所有可能的取值
      }
    }
  }
}

2. 嵌套路径的匹配差异 #

确认两次查询的嵌套路径完全一致：

• 有时候可能不小心修改了嵌套字段的path参数，导致针对src_port的聚合没有正确命中嵌套文档，从而返回异常结果。
• 同时检查文档结构：确保所有包含src_port的文档都在指定的嵌套路径下，而src_ip的文档结构不存在这个问题。

3. 查询上下文的隐性差异 #

检查两次查询的过滤条件是否完全相同：

• 除了切换a_field_which_changes的字段名，其他query部分（比如时间范围过滤、其他业务条件）是否完全一致？细微的过滤差异会直接导致聚合结果的巨大不同。
• 另外可以尝试执行POST /your_index/_refresh后再查询，排除分片数据未刷新导致的临时不一致。

4. 聚合参数的隐性差异 #

检查聚合的size及相关参数：

• 如果针对src_port的聚合size设置过小，可能会截断真实的聚合结果；可以尝试把size调大（比如设为1000）再测试。
• 也可以开启show_term_doc_count_error参数，查看是否存在文档计数的误差：

{
  "aggs": {
    "target_field_agg": {
      "terms": {
        "field": "src_port",
        "size": 1000,
        "show_term_doc_count_error": true
      }
    }
  }
}

三、针对两种典型异常结果的处理建议 #

如果是返回空bucket #

先验证嵌套路径下是否存在src_port有值的文档：

{
  "query": {
    "nested": {
      "path": "your_nested_field_path",
      "query": {
        "exists": {
          "field": "src_port"
        }
      }
    }
  }
}

如果查询无结果，说明该嵌套路径下确实没有有效src_port数据，需要检查数据写入逻辑。

如果是返回多个不符合预期的bucket #

结合第一步的terms聚合结果，要么清理异常数据，要么在聚合时添加过滤规则，只保留符合预期的src_port值（比如数字格式的端口）：

{
  "aggs": {
    "outer_nested_agg": {
      "nested": {
        "path": "your_nested_field_path"
      },
      "aggs": {
        "target_field_agg": {
          "terms": {
            "field": "src_port",
            "include": "^[0-9]+$" // 只匹配纯数字的端口字符串
          }
        }
      }
    }
  }
}

内容的提问来源于stack exchange，提问作者WoJ