如何在kibana中搜索消息中的多个单词

Question

我正在尝试在 kibana 消息中搜索两个关键字，但无论我做什么都不会返回任何我想要的结果。

我正在尝试在消息字段中查找包含“ACTIVE”和“fill”关键字的日志。当我通过“ACTIVE”搜索时，它会返回包含两个关键字的结果。

例子：

<[ACTIVE] ExecuteThread:.....
.....
java.io.BufferedInputStream.fill(BufferedInputStream.java:246)
    java.io.BufferedInputStream.read1(BufferedInputStream.java:286)
    java.io.BufferedInputStream.read(BufferedInputStream.java:345)

但是当我尝试通过这两个关键字进行搜索时，它什么也没有返回。我试过了：

• 消息处于活动状态，填写搜索字段

• 在搜索字段中输入：ACTIVE and fill，这将返回所有带有“and”的消息

• {
       "query": {
         "wilcard": {
           "message": "*ACTIVE*fill*"
         }
       }
     }
  

那么实现这一目标的正确方法是什么？

Answer 1

您可能想尝试一次。

   "query": {
    "bool": {
      "must": [
        {
          "match_phrase": {
            "message": "ACTIVE"
          }
        },
        {
          "match_phrase": {
            "message": "fill"
          }
        }
      ]
    }
   }