ES查询语句

1.通配符查询KEYWORD字段（不会建分词索引，会建索引）

{
“query”: {
“bool”:{
“filter”:{“wildcard”:{“sourceMode”:“Desktop.rar”}}}
}
}

2.删除并释放磁盘空间
【POST】monitor/_delete_by_query
{
“query”:
{
“bool” : {
“must” : [
{
“wildcard” : {
“datatype” : {
“wildcard” : “flumetokafka”
}
}
}
]
}
}
}
1.查询你要删除的doc数据:

以2019/5/18 00:00:00时间节点和time字段为例:

具体代码如下:
monitor/_search POST
{
“query”: {
“bool”: {
“must”: [{
“range”: {
“time”: {
“lt”: “1558108800”
}
}
}
]
}
}
}

CURL请求格式如下:
curl -XPOST “http://10.0.0.125:9200/monitor/_search” -H ‘Content-Type: application/json’ -d’
{
“query”: {
“bool”: {
“must”: [{
“range”: {
“time”: {
“lt”: “1558108800”
}
}
}
]
}
}
}’
如图所示.通过调节查询时间范围,来控制查询到(也就是下一步要删除)的数据量,
可选参数解释:
“time”: { //以案例中时间字段time,根据实际情况修改
“gt”: “12772263508”, // gt 大于
“lt”: “1542775863508” // lt 小于
}
“term”: { //精确查找用term,分词匹配查找用match
“tag”: “monitor” // 查询字段tag内容为 "monitor"的doc数据
}

2.手动范围删除文档数据(此操作下文档并不会被马上从相应的存储它的segment中删除掉，而是通过一个特殊的文件来标记该文档已被删除。当用户再次搜索时，Elasticsearch在segment中仍能找到这些文档，但由于文档已经被标记为删除，Lucene会从发回给用户的搜索结果中剔除，所以不会在返回结果中展示)

只需将第一步查询header里面monitor/_search的_search改为_delete_by_query就是按条件删除操作了,下面的requests body内容不需要改变.完整header如下:
monitor/_delete_by_query POST
PS:该删除操作可能较慢,等待返回就好,有时候因为一些设置,执行该请求可能只会批量部分删除,可多次执行.

3.强制Elasticsearch进行segment merging操作,释放占用空间(之前被标记为已删除的文档在segment合并时，才会被真正删除掉。在此之前，它仍然会占用着JVM heap和操作系统的文件cache等资源。我们需要强制Elasticsearch进行segment merging,以释放其占用的大量系统资源)
具体执行命令以索引monitor和该es master所在节点10.0.0.128:9200为例,如下:
curl -XPOST ‘http://10.3.8.81:9200/monitor/_forcemerge?only_expunge_deletes=true&max_num_segments=1’

PS:段合并会消耗较多的磁盘IO资源，不要在大量建立索引时，查询较多时，执行该操作.