如何在Elasticsearch中搜索数据？Apache日志搜索失败求助

我之前跟着Elastic相关教程成功把数据推送到Elastic Cloud，还能正常发布样本文档并搜索里面的术语，但碰到了Apache日志没法正常搜索的问题。先把我用到的查询命令贴出来（命令末尾被截断了）：

curl -H 'Content-Type: application/json' -k -u elastic:changeme -XPUT https://5a482b9559fc4a59b6b*************.ap-southeast-1.aws.found.io:9243/test-data/cit...

针对这个问题，可以从这几个方向逐一排查：

• 先确认Apache日志是否真的被写入索引
  先用GET test-data/_count命令查看索引的文档总数，如果数量没有对应增加，说明数据根本没传进去。这时候要检查curl命令是否完整（你提供的命令末尾明显被截断了，比如是否漏写了文档ID、请求体内容？），执行命令时可以加上-v参数，查看详细的请求响应过程，定位是否有认证失败、格式错误这类问题。

• 检查索引映射是否适配Apache日志结构
  样本文档结构简单，和Apache日志的字段（比如客户端IP、请求方法、响应码、访问时间等）大概率不匹配。用GET test-data/_mapping查看当前索引的映射规则，如果Apache日志里的字段没有被定义成正确的类型（比如时间字段没设为date类型、文本字段没开启分词），就会导致搜索失效。这时候需要调整映射规则，或者推送日志时把数据格式化成符合映射的JSON结构。

• 验证搜索语法是否正确
  有时候不是数据没进去，而是搜索方式不对。比如如果Apache日志的request字段是keyword类型，搜索时需要用精确匹配；如果是text类型，要注意分词规则。可以先试试不带条件的GET test-data/_search查询，看看能不能返回Apache日志的文档，再逐步缩小搜索条件排查。

• 用Kibana辅助排查
  如果能访问Elastic Cloud配套的Kibana，直接进入Discover板块选择test-data索引，可视化界面能更直观地看到数据的结构和内容，比用curl排查高效得多，能快速确认数据是否存在、字段是否正常解析。

内容的提问来源于stack exchange，提问作者Souvik Ray