如何在匹配中使用 AND 运算符（Kibana 开发工具）

Question

我正在使用开发工具，Bellow Query 在 Kibana Discover 中工作正常

log.file.path:*MY.log*    AND "[COMMAND:HEARTBEAT]"  AND "[CHARGING:0]"

但是当我在 Dev 工具中做同样的事情时，它只获取 HEARTBEAT 但它显示了充电 0 和 1 的所有数据，但我只需要 0


GET filebeat-*/_search
{
  "size": 1000,
  "query": {
    "bool": {
      "must": [
        {
          "match": {
            "log.file.path": "LOG.log"
          }
        },
        {
          "term": {
            "COMMAND": {
              "value": "HEARTBEAT"
            }
          }
        },
        {
          "term": {
            "CHARGING": {
              "value": "0"
            }
          }
        }
      ],
      "filter": {
        "range": {
          "@timestamp": {
            "gte": "now-15m"
          }
        }
      }
    }
  }
}

日志映射相同的日志我得到 2 种方式，一个在消息中并通过使用 logstash 我正在转换为 Json ，我在此处添加了两个

{
  "_index": "filebeat-7.2.0-2019.09.14",
  "_type": "_doc",
  "_id": "Aps9MW0BBmrGS9dAswgZ",
  "_version": 1,
  "_score": null,
  "_source": {
    "ecs": {
      "version": "1.0.0"
    },
    "@version": "1",
    "message": "[COMMAND:HEARTBEAT],[GPS STATUS:true],[INFO:false],[SIGNAL:false],[ENGINE:0],[DOOR:0],[LON:0],[LAT:0],[SPEED:0.0],[HEADING:-1.0],[BATTERY:100.0%],[CHARGING:0],[O&E:CONNECTED],",


    "GPS-LOG": {
      "O&E": "CONNECTED",
      "GPS POS": "true",
      "ENGINE": "0",
      "COMMAND": "HEARTBEAT",
      "GSM_SIGNAL": "75",

      "CHARGING": "0",
      "HEADING": "-1.0",
      "FUEL": "0.0V/0.0%",
      "SPEED": "0.0",
      "GPS STATUS": "true",
      "ALARM": "NONE",
      "BATTERY": "100.0%",
      "TIMESTAMP": "null",
      "LON": "0",
      "LAT": "0",
      "DOOR": "0",
      "SERIAL": "1670",
      "SIGNAL": "false",
      "INFO": "false",
      "GPS_SATS": "11"
    },

我的真实日志是这样的

    18:15:53,909 DEBUG [com.] (default-threads - 57) (338)>[TIMESTAMP:Sun Sep 15 18:15:53 UTC 2019],[COMMAND:INFO],[GPS STATUS:true],[INFO:true],[SIGNAL:false],[ENGINE:0],[DOOR:0],[LON:90],[LAT:2],[SPEED:0.0],[HEADING:240.0],[BATTERY:83.0%],[CHARGING:0],[O&E:CONNECTED],[GSM_SIGNAL:100],[GPS_SATS:8],[GPS POS:true],[FUEL:0.0V/0.0%],[ALARM:NONE],[SERIAL:03AA]

感谢帮助

Answer 1

Kibana Discovery 使用 Lucene 语法（Lucene 是搜索 engine/technology Elasticsearch 的基础）让您查询数据。但是，当您通过 DevTool 发送请求时，您基本上会调用 Elasticsearch REST API。您可以不在那里使用 Lucene 语法。

你的第二个匹配查询有问题：

我假设您想搜索完全匹配项（命令 == HEARTBEAT；充电 == 0）。但是对于匹配查询，您正在对字段进行全文搜索。

您需要使用 term query 而不是匹配查询。因此，在第一个匹配查询之后，您将在 must-clause 中定义两个术语查询（一个用于命令字段，一个用于收费字段）。请注意，当使用 must 子句时，它会自动对其中的所有查询应用 AND 运算符。

这就是您的查询的样子（未经测试）：

GET filebeat-*/_search
{
  "size": 1000,
  "query": {
    "bool": {
      "must": [
        {
          "match": {
            "log.file.path": "MYlog"
          }
        },
        {
          "term": {
            "command": {
              "value": "HEARTBEAT"
            }
          }
        },
        {
          "term": {
            "charging": {
              "value": 0
            }
          }
        }
      ],
      "filter": {
        "range": {
          "@timestamp": {
            "gte": "now-15m"
          }
        }
      }
    }
  }
}

或者您可以搜索命令。关键字 字段。

如何在匹配中使用 AND 运算符（Kibana 开发工具）

How to use AND operator in match (Kibana dev tools)

elasticsearch

kibana