Kibana日志查询表达式

Kibana 日志查询

kibana 以下示例展示kibana基础查询语法

基础字符串匹配(全文检索)

实用指数 5

例如想查找某个IP,直接输入ip即可

"192.168.163.104"

知道日志某段内容可直接放到kibana中直接查询

"根据小程序code获取微信用户信息"

按列匹配

实用指数 2

日志级别为ERROR的日志

level:ERROR

日志级别为ERROR或者为WARN的日志

level:(ERROR OR WARN)
level:(ERROR WARN)

日志中搜索指定字符串

message:"张三"

必须包含level列

_exists_:level

Proximity searchesedit

实用指数 2

例如搜索 "张三 登入" 搜索结果可能有两个关键字，
但是匹配的可能是张三 XXXXXXXX 登入和我们想要的不一致
可使用如下方式搜索

"张三 登入"~3

表达式的意思是匹配以上搜索结果，搜索结果中的词条相距不能超过3个字符，
常用语短语匹配

区间搜索

实用指数 2

如果值为可量化的可使用区间搜索 date,numeric等,
使用[mix TO max]表示mix到max所有值，包含min和max。
{mix TO max} 表示mix到max所有值，不包含min和max。

nginx状态码在200到400之间的请求

nginx.access.response_code:[200 TO 300]

区间表达式也是用大于小于表示

age:>10
age:>=10
age:<10
age:<=10

布尔操作

实用指数 4

默认情况在kibana中搜索字符串例如 "张三 登入"
elasticsearch 会匹配所有包含张三 或者 登入 的日志,

+ 表示必须包含如 +"张三"

- 必须不包含 如 -"登入"

例如搜索包含张三的日志，并且不包含登入字符串的日志

+"张三" -"登入"

逻辑操作

实用指数 2

AND OR NOT 与或非

同上查询可以如下表达式表示

"张三" NOT "登入"

分组

实用指数 2

用() 包表达式分为独立组配置逻辑运算符实现复杂的查询语句
例如查询包含瀚华字符串并且包含张三 或 李四

+“瀚华” AND (“张三” OR “李四”)

官网elastic docs