elasticsearch painless脚本使用（附demo及painless API）

Kibana 提供了一些强大的方法，用于搜索和可视化 Elasticsearch 中存储的数据。为了实现可视化，Kibana 会搜索 Elasticsearch mapping 中定义的 field，并以图表的形式将它们作为选项呈现给用户。但是，如果你忘记在 schema 中将一个重要的值定义为单独的 field 会怎么样呢？或者，如果你想把两个 field 合并到一起该怎么办呢？这时就可以使用 Kibana 脚本化 field。

其实，脚本化 field 最早出现于 Kibana 4 初期。当时只能依靠 Elasticsearch 中专门处理数字值的脚本语言 Lucene Expressions来定义它们。因此，只能在有限的用例子集中发挥脚本化 field 的功能。在 Kibana 5.0 中，Elasticsearch 引入了 Painless，这是一种安全而又强大的脚本语言，允许操作各种数据类型，Kibana 5.0 中的脚本化 field 因而变得更加强大。

接下来，这篇博客将带你了解如何为常见用例创建脚本化 field。在此期间，我们将依托来自 Kibana 入门教程的数据集，并使用在可以免费加速的 Elastic Cloud中运行的 Elasticsearch 和 Kibana 实例。

脚本化 field 的工作原理

Elasticsearch 允许每次请求时指定脚本化 field。Kibana 在此基础上进行了改进，在 Management（管理）区域定义一个脚本化 field，即可在后续用户界面的多个位置使用。请注意，尽管 Kibana 会将脚本化 field 与其在 .kibana index 中的其他配置存储在一起，但是此配置专属于 Kibana，而且 Elasticsearch 的 API 用户不会接触到 Kibana 脚本化 field。

当你要在 Kibana 中定义脚本化 field 时，需要选择脚本语言，你可以从 Elasticsearch 节点上安装的所有启用了动态脚本的语言中进行选择。默认情况下，5.0 中有“expression”和“painless”可供选择，2.x 中则只有“expression”。你也可以安装其他脚本语言并为它们启用动态脚本，但是不建议这样做，因为无法将它们充分地进行 沙盒封装，因此已被弃用。

脚本化 field 一次可以操作一个 Elasticsearch 文档，但是可以在这个文档中引用多个 field。因此，可以使用脚本化 field 将多个 field 合并或转换到一个单独的文档中，但是不能对多个文档执行计算（例如：时间序列运算）。Painless 和 Lucene expressions 都能够对存储在 doc_values中的 field 执行操作。因此在处理字符串数据时，需要将字符串存储到keyword数据类型。基于 Painless 的脚本化 field 也不能直接操作 _source。

在 Management（管理）区域定义脚本化 field 之后，用户可以借鉴与 Kibana 其他部分的其他 field 的交互方式，采用与之相同的方式与脚本化 field 进行交互。脚本化 field 将自动出现在 Discover（探索）field 列表中，并且将在 Visualize（可视化）中可用，用于创建可视化。Kibana 只需在查询时将脚本化 field 定义传递给 Elasticsearch，进行求值。得出的数据集将会与 Elasticsearch 返回的其他结果合并，并以表格或图表的形式呈现给用户。

撰写这篇博客时，脚本化 field 的使用存在一些已知的限制。你可以将 Kibana 可视化生成器中可用的大部分 Elasticsearch 聚合应用到脚本化 field，最著名的 significant terms aggregation（重要术语聚合）除外。你还可以通过 Discover（探索）、Visualize（可视化）和 Dashboard（仪表板）中的过滤栏过滤脚本化 field，但是正如我们下面所介绍的那样，你需要小心编写合适的脚本，确保能够返回定义良好的值。与此同时，务必参阅下面的“最佳实践”章节，确保使用脚本化 field 时不会破坏环境的稳定。

脚本化 field 示例

本小节展示了 Kibana 中一些常见场景下的 Lucene expressions 和 Painless 脚本化 field 示例。如上所述，这些示例以来自 Kibana 入门教程的数据集为基础，并且假定你使用的是 Elasticsearch 和 Kibana 5.1.1，因为在之前的版本中，某些类型的脚本化 field 中存在一些与过滤和排序相关的已知问题。

由于 Elasticsearch 5.0 默认启用 Lucene expressions 和 Painless，因此脚本化 fields 在大部分情况下应该都能够开箱即用。唯一例外的是那些需要对 fields 进行基于正则表达式的解析的脚本，这些脚本需要你在 elasticsearch.yml中设置下面的设置，为 Painless 打开正则表达式匹配： script.painless.regex.enabled: true

对单个 field 执行计算

• 示例：由字节计算出千字节
• 语言：expressi