kibana笔记 -- KQL

    1、 搜索词周围的引号将启动词组搜索。 例如，message:"Quick brown fox"将在message字段中搜索短语  “quick brown fox”。 如果没有引号，您的查询将通过message字段的已配置分析器分解为token，并且将匹配包含这些token的文档，而不考虑其出现的顺序。 这意味着带有"quick brown fox"的文档将匹配，但是"quick fox brown"也将匹配。 如果要搜索短语，请记住使用引号。

    2、在KQL中， 多个搜索词必须由显式布尔运算符分隔。使用 and 来连接必须的搜索项。and 比 or 优先级高。

    3、存在一种速记，可以使我们轻松地在单个字段中搜索多个值。

    response:（200 or 404）搜索response字段与200或404匹配的文档。我们还可以搜索有包含terms列表的多值字段的文档，例如：ttags:(success and info and security)

    4、response:* 将找到所有存在response字段的文档。

    5、可以通过在其前面加上not 前缀来否定terms。例如：

not response:200 将匹配response不为200的所有文档。

 

参考：Kibana Query Language