ELK 查询语法

ELK 查询语法

查询指定字段同时包含多个内容1

message:(+"内容1" +"内容2" +"内容3")

查询指定字段同时包含多个内容2

message:("内容1" AND "内容2" AND "内容3")

多个字段同时查询

message:"" AND log_id:java*

通配符

? 匹配单个字符
* 匹配0到多个字符

例如：
log_id:java*  查询log_id 为java开头的

注意：? * 不能用作第一个字符，例如：?text 或 *text

逻辑操作符

AND
OR

+：搜索结果中必须包含此项
-：不能含有此项
+aaa -bbb test ccc ddd：结果中必须存在aaa，不能有bbb，剩余部分尽量都匹配到

分组

(aaa OR bbb) AND ccc  存在 aaa或bbb 和 ccc

范围搜索

数值/时间/IP/字符串 类型的字段可以对某一范围进行查询
length:[100 TO 200]
sip:["172.24.20.110" TO "172.24.20.140"]
date:{"now-6h" TO "now"}
tag:{b TO e} 搜索b到e中间的字符
count:[10 TO *] * 表示一端不限制范围
count:[1 TO 5} [ ] 表示端点数值包含在范围内，{ } 表示端点数值不包含在范围内，可以混合使用，此语句为1到5，包括1，不包括5

可以简化成以下写法：
age:>10
age:<=10
age:(>=10 AND <20)

time:["2021-08-19T03:17:07.056Z" TO "2021-08-19T03:17:08.056Z"]