【发布时间】：2015-11-28 22:09:11
【问题描述】：
看起来像一个简单的用例，但由于某种原因我无法弄清楚如何做到这一点，或者谷歌一个明确的例子。
假设我有一条消息存储在 logstash 留言：
“信息：2015-11-28 22:02:19,232:common:INFO:ENV: 生产 用户：无：用户名：无：LOG：发布到总线“
我想在 kibana（版本 4）中搜索短语：“publishing to bus” 我会得到一组结果 但如果我要搜索：“无：日志：发布到总线” 然后我得到“未找到结果”。
虽然很明显这个短语确实存在并且是由先前的搜索返回的。
所以我的问题基本上是 - 发生了什么事？搜索可能的长短语的正确方法是什么？为什么第二个示例会失败。
编辑： 存储的 JSON。
{
"_index": "logz-ngdxrkmolklnvngumaitximbohqwbocg-151206_v1",
"_type": "django_logger",
"_id": "AVF2DPxZZst_8_8_m-se",
"_score": null,
"_source": {
"log": " publishing to bus {'user_id': 8866, 'event_id': 'aibRBPcLxcAzsEVRtFZVU5', 'timestamp': 1449384441, 'quotes': {}, 'rates': {u'EURUSD': Decimal('1.061025'), u'GBPUSD': Decimal('1.494125'), u'EURGBP': Decimal('0.710150')}, 'event': 'AccountInstrumentsUpdated', 'minute': 1449384420}",
"logger": "common",
"log_level": "INFO",
"message": "2015-12-06 06:47:21,298:common:INFO:ENV: Production User:None:Username:None:LOG: publishing to bus {'user_id': 8866, 'event_id': 'aibRBPcLxcAzsEVRtFZVU5', 'timestamp': 1449384441, 'quotes': {}, 'rates': {u'EURUSD': Decimal('1.061025'), u'GBPUSD': Decimal('1.494125'), u'EURGBP': Decimal('0.710150')}, 'event': 'AccountInstrumentsUpdated', 'minute': 1449384420}",
"type": "django_logger",
"tags": [
"celery"
],
"path": "//path/to/logs/out.log",
"environment": "Staging",
"@timestamp": "2015-12-06T06:47:21.298+00:00",
"user_id": "None",
"host": "path.to.host",
"timestamp": "2015-12-06 06:47:21,298",
"username": "None"
},
"fields": {
"@timestamp": [
1449384441298
]
},
"highlight": {
"message": [
"2015-12-06 06:47:21,298:common:INFO:ENV: Staging User:None:Username:None:LOG: @kibana-highlighted-field@publishing@/kibana-highlighted-field@ @kibana-highlighted-field@to@/kibana-highlighted-field@ @kibana-highlighted-field@bus@/kibana-highlighted-field@ {'user_id': **, 'event_id': 'aibRBPcLxcAzsEVRtFZVU5', 'timestamp': 1449384441, 'quotes': {}, 'rates': {u'EURUSD': Decimal('1.061025'), u'GBPUSD': Decimal('1.494125'), u'EURGBP': Decimal('0.710150')}, 'event': 'AccountInstrumentsUpdated', 'minute': 1449384420}"
]
},
"sort": [
1449384441298
]
}
【问题讨论】：
-
你试过：“none:log: publishing to bus”吗？
-
现在试过了。不返回任何结果
-
我相信
:是一个特殊字符，尝试转义它：\: -
@xjedam Nope.. 试过了。没用
-
这个字段的映射是什么样的？