ELK 查询语法

最新推荐文章于 2025-07-14 09:48:07 发布

dnf9906

最新推荐文章于 2025-07-14 09:48:07 发布

阅读量4k

点赞数 1

CC 4.0 BY-SA版权

分类专栏：常用工具文章标签： elk

本文链接：https://blog.csdn.net/dnf9906/article/details/119781919

常用工具专栏收录该内容

2 篇文章

订阅专栏

本文详细讲解了如何在ELK（Elasticsearch, Logstash, Kibana）查询中使用复杂的语法，包括同时查询多个字段、使用通配符、逻辑操作符以及范围搜索。通过实例演示了如何精确查找包含多个关键词的消息，以及如何利用括号分组和限定条件来优化搜索结果。

摘要生成于 C知道，由 DeepSeek-R1 满血版支持，前往体验 >

ELK 查询语法

查询指定字段同时包含多个内容1

message:(+"内容1" +"内容2" +"内容3")

查询指定字段同时包含多个内容2

message:("内容1" AND "内容2" AND "内容3")

多个字段同时查询

message:"" AND log_id:java*

通配符

? 匹配单个字符
* 匹配0到多个字符

例如：
log_id:java*  查询log_id 为java开头的

注意：? * 不能用作第一个字符，例如：?text 或 *text

逻辑操作符

AND
OR

+：搜索结果中必须包含此项
-：不能含有此项
+aaa -bbb test ccc ddd：结果中必须存在aaa，不能有bbb，剩余部分尽量都匹配到

分组

(aaa OR bbb) AND ccc  存在 aaa或bbb 和 ccc

范围搜索

数值/时间/IP/字符串 类型的字段可以对某一范围进行查询
length:[100 TO 200]
sip:["172.24.20.110" TO "172.24.20.140"]
date:{"now-6h" TO "now"}
tag:{b TO e} 搜索b到e中间的字符
count:[10 TO *] * 表示一端不限制范围
count:[1 TO 5} [ ] 表示端点数值包含在范围内，{ } 表示端点数值不包含在范围内，可以混合使用，此语句为1到5，包括1，不包括5

可以简化成以下写法：
age:>10
age:<=10
age:(>=10 AND <20)

time:["2021-08-19T03:17:07.056Z" TO "2021-08-19T03:17:08.056Z"]