弹性搜索中的多个过滤器和聚合

Question

如何在elasticsearch中使用与聚合相关的过滤器？

官方文档只给出了过滤器和聚合的小例子，没有对查询dsl进行正式描述——例如，将其与postgres文档进行比较。

通过尝试，我发现以下查询被elasticsearch接受（没有解析错误），但忽略了给定的过滤器：

{
  "filter": {
    "and": [
      {
        "term": {
          "_type": "logs"
        }
      },
      {
        "term": {
          "dc": "eu-west-12"
        }
      },
      {
        "term": {
          "status": "204"
        }
      },
      {
        "range": {
          "@timestamp": {
            "from": 1398169707,
            "to": 1400761707
          }
        }
      }
    ]
  },
  "size": 0,
  "aggs": {
    "time_histo": {
      "date_histogram": {
        "field": "@timestamp",
        "interval": "1h"
      },
      "aggs": {
        "name": {
          "percentiles": {
            "field": "upstream_response_time",
            "percents": [
              98.0
            ]
          }
        }
      }
    }
  }
}

有些人建议使用查询而不是过滤。但官方文件通常建议对精确值进行过滤。查询的另一个问题是：虽然过滤器提供了和，但查询不提供。

有人能给我指一下文档、博客或书籍吗？它们描述了编写非平凡查询：至少是一个聚合加上多个过滤器。

Answer 1

关于@geekQ的答案的更多信息：为了支持带有空格字符的过滤器字符串，对于多通道术语搜索，请使用以下命令：

{   "aggs": {
    "aggresults": {
      "filter": {
        "bool": {
          "must": [
            {
              "match_phrase": {
                "term_1": "some text with space 1"
              }
            },
            {
              "match_phrase": {
                "term_2": "some text with also space 2"
              }
            }
          ]
        }
      },
      "aggs" : {
            "all_term_3s" : {
                "terms" : {
                    "field":"term_3.keyword",
                    "size" : 10000,
                    "order" : {
                        "_term" : "asc" 
                    }
                }
           }
        }
    }   },   "size": 0 }

Answer 2

将您的过滤器放入过滤的查询中。

顶级过滤器仅用于过滤搜索点击，而不是面/聚合。在1.0中，由于这种常见的混淆，它被重命名为post_filter。

此外，你可能想看看这篇文章，了解为什么你经常想使用bool，而不是和http://www.elasticsearch.org/blog/all-about-elasticsearch-filter-bitsets/

Answer 3

我最终使用了一个过滤器聚合，而不是过滤查询。现在我有3个嵌套的aggs元素。

我还使用了布尔滤波器，而不是@alex brasetvik推荐的和，因为http://www.elasticsearch.org/blog/all-about-elasticsearch-filter-bitsets/

我的最终实现：

{
  "aggs": {
    "filtered": {
      "filter": {
        "bool": {
          "must": [
            {
              "term": {
                "_type": "logs"
              }
            },
            {
              "term": {
                "dc": "eu-west-12"
              }
            },
            {
              "term": {
                "status": "204"
              }
            },
            {
              "range": {
                "@timestamp": {
                  "from": 1398176502000,
                  "to": 1400768502000
                }
              }
            }
          ]
        }
      },
      "aggs": {
        "time_histo": {
          "date_histogram": {
            "field": "@timestamp",
            "interval": "1h"
          },
          "aggs": {
            "name": {
              "percentiles": {
                "field": "upstream_response_time",
                "percents": [
                  98.0
                ]
              }
            }
          }
        }
      }
    }
  },
  "size": 0
}