弹性搜索-按日期的范围过滤器不工作，

Question

我试图过滤查询使用范围按日期，但它不工作。如果我使用gt， gte， lt， lte它返回零结果。如果我只使用gt或lt，它返回一些结果，但过滤器不工作。

我检查了uri上的数据类型http://mydomain.local:9200/logstash-2014.09.09/_mapping?pretty=true字段类型是正确的：

"original" : {
    "type" : "date",
    "format" : "dateOptionalTime"
}

以下是我在ElasticSearch中索引的结果示例：

{
    "_index" : "logstash-2014.09.08",
    "_type" : "iis",
    "_id" : "wxtnfpyjR4u7dhwlEAWevw",
    "_score" : 1.0,
    "_source":{"@version":"1","@timestamp":"2014-09-08T20:55:46.460Z",
               "type":"iis","original":"14-09-08 17:39:58"}
}

下面是我如何尝试执行查询：

{
    "query" : {
        "filtered" : {
            "filter" : {
                "range" : {
                    "original" : {
                        "gt" : "14-09-10"
                    }
                }
            }
        }
    }
}

有人知道我的问题出在哪里吗？如果我没有比今天（2014-09-09）更大的日期，为什么它会返回一些结果？

Answer 1

我创建了一个具有相同映射的索引，并尝试在其中放入一条记录

curl -XPOST localhost:9200/test-1/x/_index -d '{"original": "14-09-08 17:39:58"}'

并得到一个错误：

{"error":"MapperParsingException[failed to parse [original]]; nested: MapperParsingException[failed to parse date field [14-09-08 17:39:58], tried both date format [dateOptionalTime], and timestamp number with locale []]; nested: IllegalArgumentException[Invalid format: \"14-09-08 17:39:58\" is malformed at \" 17:39:58\"]; ","status":400}`

因此，我相信您所处的环境中，#-#-#-#-#被解释为除yy mm dd之外的其他内容。

您使用的是Logstash，因此可以在原始字段进入变异之前对其进行修复，以使其明确无误。

mutate {
   replace => { original => "20%{original}" }
}