查询数字字段匹配字符串字段答案

【问题标题】：Query on number field matching string fields查询数字字段匹配字符串字段
【发布时间】：2017-05-11 19:48:30
【问题描述】：

我有一个 ELK 堆栈设置。当我对数字字段执行查询时，它也与字符串字段匹配。例如，我正在向 ELK 发送负载均衡器日志，如果我对其执行 backend_processing_time:>5，那么它也与 backend_processing_time 匹配，其值为 0.001。

在kibana界面，显示查询与请求消息中的字符串匹配。我无法理解针对数字字段的查询如何与字符串匹配。

在 kibana 的开发工具部分，我尝试运行相同的查询

GET _search
{
  "query": {
           "range" : {
            "backend_processing_time" : {
                "gte" : 50000000000
            }
        } 
  }
}

即使有这么多的 backend_processing_time，我也得到了结果。我无法理解为什么会这样。

我搜索了其他也是数字类型的字段，发现所有对数字字段进行的查询都与字符串类型的字段匹配。

我提供了一个示例搜索结果，我得到了 backend_processing_time:>500000000 查询。从这个结果可以看出，backend_processing_time 字段很小，但仍然得到了命中。

{
  "_index": "logstash-2017.05.10",
  "_type": "prod-quizelb-logs",
  "_id": "AVvzYRgL49GPTZAKoDer",
  "_score": null,
  "_source": {
    "backendport": 80,
    "received_bytes": 0,
    "request": "http://en.meaww.com:80/locales/en.json",
    "backend_response": 200,
    "verb": "GET",
    "message": "2017-05-10T17:19:52.881044Z Prod-ELB 172.68.144.71:34803 10.1.91.253:80 0.000075 0.000606 0.000019 200 200 0 1881 \"GET http://en.meaww.com:80/locales/en.json HTTP/1.1\" \"Mozilla/5.0 (Linux; Android 6.0.1; SM-C900F Build/MMB29M; wv) AppleWebKit/537.36 (KHTML, like Gecko) Version/4.0 Chrome/58.0.3029.83 Mobile Safari/537.36 [FB_IAB/FB4A;FBAV/122.0.0.17.71;]\" - -\n",
    "type": "prod-quizelb-logs",
    "clientport": 34803,
    "request_processing_time": 0.000075,
    "urihost": "en.meaww.com:80",
    "response_processing_time": 0.000019,
    "path": "/locales/en.json",
    "@timestamp": "2017-05-10T17:21:18.280Z",
    "port": "80",
    "response": 200,
    "bytes": 1881,
    "clientip": "172.68.144.71",
    "proto": "http",
    "@version": "1",
    "elb": "Prod-ELB",
    "httpversion": "1.1",
    "backendip": "10.1.91.253",
    "backend_processing_time": 0.000606,
    "timestamp": "2017-05-10T17:19:52.881044Z"
  },
  "fields": {
    "@timestamp": [
      1494436878280
    ],
    "timestamp": [
      1494436792881
    ]
  },
  "highlight": {
    "backend_processing_time.keyword": [
      "@kibana-highlighted-field@6.06E-4@/kibana-highlighted-field@"
    ],
    "request": [
      "@kibana-highlighted-field@http@/kibana-highlighted-field@://@kibana-highlighted-field@en.meaww.com@/kibana-highlighted-field@:@kibana-highlighted-field@80@/kibana-highlighted-field@/@kibana-highlighted-field@locales@/kibana-highlighted-field@/@kibana-highlighted-field@en.json@/kibana-highlighted-field@"
    ],
    "elb.keyword": [
      "@kibana-highlighted-field@Prod-ELB@/kibana-highlighted-field@"
    ],
    "urihost.keyword": [
      "@kibana-highlighted-field@en.meaww.com:80@/kibana-highlighted-field@"
    ],
    "verb": [
      "@kibana-highlighted-field@GET@/kibana-highlighted-field@"
    ],
    "request.keyword": [
      "@kibana-highlighted-field@http://en.meaww.com:80/locales/en.json@/kibana-highlighted-field@"
    ],
    "type": [
      "@kibana-highlighted-field@prod@/kibana-highlighted-field@-@kibana-highlighted-field@quizelb@/kibana-highlighted-field@-@kibana-highlighted-field@logs@/kibana-highlighted-field@"
    ],
    "message": [
      "2017-05-10T17:19:@kibana-highlighted-field@52.881044Z@/kibana-highlighted-field@ @kibana-highlighted-field@Prod@/kibana-highlighted-field@-@kibana-highlighted-field@ELB@/kibana-highlighted-field@ 172.68.144.71:34803 10.1.91.253:@kibana-highlighted-field@80@/kibana-highlighted-field@ 0.000075 0.000606 0.000019 200 200 0 1881 \"@kibana-highlighted-field@GET@/kibana-highlighted-field@ @kibana-highlighted-field@http@/kibana-highlighted-field@://@kibana-highlighted-field@en.meaww.com@/kibana-highlighted-field@:@kibana-highlighted-field@80@/kibana-highlighted-field@/@kibana-highlighted-field@locales@/kibana-highlighted-field@/@kibana-highlighted-field@en.json@/kibana-highlighted-field@ @kibana-highlighted-field@HTTP@/kibana-highlighted-field@/1.1\" \"@kibana-highlighted-field@Mozilla@/kibana-highlighted-field@/5.0 (@kibana-highlighted-field@Linux@/kibana-highlighted-field@; @kibana-highlighted-field@Android@/kibana-highlighted-field@ @kibana-highlighted-field@6.0.1@/kibana-highlighted-field@; @kibana-highlighted-field@SM@/kibana-highlighted-field@-@kibana-highlighted-field@C900F@/kibana-highlighted-field@ @kibana-highlighted-field@Build@/kibana-highlighted-field@/@kibana-highlighted-field@MMB29M@/kibana-highlighted-field@; @kibana-highlighted-field@wv@/kibana-highlighted-field@) @kibana-highlighted-field@AppleWebKit@/kibana-highlighted-field@/@kibana-highlighted-field@537.36@/kibana-highlighted-field@ (@kibana-highlighted-field@KHTML@/kibana-highlighted-field@, @kibana-highlighted-field@like@/kibana-highlighted-field@ @kibana-highlighted-field@Gecko@/kibana-highlighted-field@) @kibana-highlighted-field@Version@/kibana-highlighted-field@/4.0 @kibana-highlighted-field@Chrome@/kibana-highlighted-field@/@kibana-highlighted-field@58.0.3029.83@/kibana-highlighted-field@ @kibana-highlighted-field@Mobile@/kibana-highlighted-field@ @kibana-highlighted-field@Safari@/kibana-highlighted-field@/@kibana-highlighted-field@537.36@/kibana-highlighted-field@ [@kibana-highlighted-field@FB_IAB@/kibana-highlighted-field@/@kibana-highlighted-field@FB4A@/kibana-highlighted-field@;@kibana-highlighted-field@FBAV@/kibana-highlighted-field@/122.0.0.17.71;]\" - -\n"
    ],
    "urihost": [
      "@kibana-highlighted-field@en.meaww.com@/kibana-highlighted-field@:@kibana-highlighted-field@80@/kibana-highlighted-field@"
    ],
    "path": [
      "/@kibana-highlighted-field@locales@/kibana-highlighted-field@/@kibana-highlighted-field@en.json@/kibana-highlighted-field@"
    ],
    "verb.keyword": [
      "@kibana-highlighted-field@GET@/kibana-highlighted-field@"
    ],
    "proto.keyword": [
      "@kibana-highlighted-field@http@/kibana-highlighted-field@"
    ],
    "port": [
      "@kibana-highlighted-field@80@/kibana-highlighted-field@"
    ],
    "type.keyword": [
      "@kibana-highlighted-field@prod-quizelb-logs@/kibana-highlighted-field@"
    ],
    "proto": [
      "@kibana-highlighted-field@http@/kibana-highlighted-field@"
    ],
    "elb": [
      "@kibana-highlighted-field@Prod@/kibana-highlighted-field@-@kibana-highlighted-field@ELB@/kibana-highlighted-field@"
    ],
    "backend_processing_time": [
      "@kibana-highlighted-field@6.06E@/kibana-highlighted-field@-4"
    ],
    "port.keyword": [
      "@kibana-highlighted-field@80@/kibana-highlighted-field@"
    ]
  },
  "sort": [
    1494436878280
  ]
}

编辑

我通过在 kibana 控制台中运行 GET /logstash-2017.05.11/_mapping/prod-quizelb-logs 查询获得了映射。

我为backend_processing_time 获取的映射显示了这一点

  "backend_processing_time": {
    "type": "text",
    "norms": false,
    "fields": {
      "keyword": {
        "type": "keyword"
      }
    }
  }

因此，该字段似乎是文本类型，从而导致发生此错误。

现在我有另一个困惑，即 kibana 将其显示为 number，但 elasticsearch 将其显示为 text 类型。此外，这是动态映射的，因为我从未自己创建映射。我认为它们是在应用 grok 过滤器时由 logstash 创建的。

【问题讨论】：

backend_processing_time字段的映射是什么？
@AndreiStefan 我用backend_processing_time 字段的映射编辑了我的问题。我认为在 grok 解析期间在 logstash 中创建的动态映射可能会导致这种情况。
嗯，该字段自动映射为字符串的原因可能有很多：在您的 LS 中，您不确定事件内容实际上是数字而不是字符串。此外，您为这些索引拥有的模板（如果有）可能会将该字段忽略为数字并将其创建为string。或者，您发送给 ES 以获取新索引的第一个文档也可能会在该字段中有一个实际有效的字符串，从而创建以 text 为类型的字段。
@AndreiStefan 所以如果我明确强制这个字段在 LS 中是一个数字，那么它应该可以解决我的问题吗？
是的，当然。

标签： elasticsearch kibana kibana-5

【解决方案1】：

您需要控制这些索引（索引）的映射，以便您的字段实际上是一个数字。否则，您将不确定您将在那里拥有什么样的字段类型。所以，基本上你需要这样的东西，无论是在索引模板中，还是在静态映射中：

    "backend_processing_time": {
      "type": "integer"
    }

【讨论】：

这应该可以。我会试试看，然后接受你的回答。

【解决方案2】：

删除查询字符串中的空格。即您的 query_string 应如下所示：

backend_processing_time:>0.5

阅读更多关于 query_string 语法here

【讨论】：

我尝试这样做，但仍然看到相同的结果。我正在编辑我的问题以解决这个问题。
@shivams 你能提供一个示例文档吗？
所以通过示例文档，如果我提供 1 结果的 json 对象是否可以？
当我再次看到我刚刚粘贴的结果时，在突出显示部分显示backend_processing_time.keyword。我是否应该假设 elasticsearch 将 backend_processing_time 视为关键字类型而不是数字。虽然在 kibana 的左侧栏中，该字段显示为数字类型。