Kibana--KQL查询语法的使用

曾经终败给现在 2023-09-28 18:19 3阅读 0赞

原文网址：[Kibana--KQL查询语法的使用\_IT利刃出鞘的博客-CSDN博客][Kibana--KQL_IT_-CSDN]

## 简介 ##

**说明**

本文介绍Kinaba的KQL查询语法的使用。

**官网网址**

KQL语法：[https://www.elastic.co/guide/en/kibana/7.7/kuery-query.html][https_www.elastic.co_guide_en_kibana_7.7_kuery-query.html]

Lucene语法：[https://www.elastic.co/guide/en/kibana/7.7/lucene-query.html][https_www.elastic.co_guide_en_kibana_7.7_lucene-query.html]

> **粉丝福利**：有很多粉丝私信问我有没有Java的面试及PDF书籍等资料，我整理了一下，包含：**真实**面试题汇总、简历模板、PDF书籍、PPT模板等。这些是**我自己也在用**的资料，面试题是面试官问到我的问题的整理，其他资料也是我自用的，真正**实用、靠谱**。资料可以从这里免费获取：[资料地址][Link 1]

## Kibana的两种查询语法 ##

Kibana的7.x版本支持两种查询语法：

1.  KQL（Kibana Query Language）语法
2.  Lucene 语法

默认是KQL，如果关闭KQL，则使用Lucene语法。

Kibana查询界面的进入方式如下：

![2d648cc6b05b44778b4472d83d1520cc.png][]

![84bfee197faf4100ba094378f14b7052.png][]

## KQL查询语法 ##

### 全文搜索 ###

**说明**

直接输入查询内容即可。

**示例：**查找包含hello，或者包含world，或者两者都包含。

hello world

### 限定字段 ###

**语法**

字段名: 匹配值

**示例1：**查询FlightNum字段匹配"4H2KUBH"字符串的文档。

FlightNum: 4H2KUBH

**示例2：**查询FlightNum字段存在（无论值是什么）的文档。

FlightNum: *

### 范围查询 ###

**说明**

**可以指定日期、数字或者字符串字段的范围。**关系运算符只能用在数值和时间类型的字段。

支持关系运算符如下：

*  <= 小于等于
 *  >= 大于等于
 *  < 小于
 *  > 大于

**示例：年龄大于等于30的**

age >= 30

### 逻辑操作 ###

**支持逻辑运算符如下:**

*  and：与
 *  or：或
 *  not：非

**示例1：and 的用法**

查询name字段包含jane，且addr字段包含beijing的记录。

name:jane and addr:beijing

注意：查询结果不区分大小写

**示例2：or 的用法**

查询name字段包含jane，或者addr字段包含beijing的记录，或者两者都匹配。

name:jane or addr:beijing

**示例3：not 的用法**

查询出response字段中不包含200的记录

not response:200

查询response包含200，并且整条记录不包含yes的数据记录

response:200 and not yes

查询response包含200，且response不包含yes的记录

response:(200 and not yes)

**示例4：多个运算符结合**

查询name包含jane且addr包含beijing的记录，或者job包含teacher的记录。

name:jane and addr:beijing or job:teacher

KQL中，and的优先级高于or。上方结果可以使用小括号来理解

(name:jane and addr:beijing) or job:teacher

**示例5：值里使用运算符**

查询response包含200，或者response包含404，或者包含200和404的记录。

response:(200 or 404)

或者

response:200 or response:400

注意：不保证顺序、不区分大小写。

### 嵌套查询 ###

**原始数据**

{
      "level1": [
        {
          "level2": [
            {
              "prop1": "foo",
              "prop2": "bar"
            },
            {
              "prop1": "baz",
              "prop2": "qux"
            }
          ]
        }
      ]
    }

**需求**

查找 level1.level2.prop1 是 foo 或者是 baz的

**写法**

level1.level2 { prop1: "foo" or prop1: "baz" }

## KQL查询通用规则 ##

如下几项规则适用于所有场景，包括：全文检索、限定字段、模糊字段等。

### 引号 ###

直接输入内容则会将内容进行分词，然后查询；若不想分词，整词查询，则两边加引号即可。

**示例1：**查找包含hello，或者包含world，或者两者都包含。

hello world

**示例2：**查找包含hello world的。

"hello world"

### 模糊查询 ###

**说明**

? 匹配单个字符

\* 匹配0到多个字符

**示例1：全文索引**

下边这个可匹配：kibana

kiba?a

下边这个可匹配：elasticsearch

el*search

**示例2：限定字段**

下边这个可匹配title含有kibana的文档。

title:kiba?a

**示例3：模糊字段**

下边这个可匹配title含有kibana的文档。

tit*:kibana

### 容错查询 ###

**说明**

~: 在一个单词后面加上~启用模糊搜索，可以搜到一些拼写错误的单词。

**示例**

first~

能匹配到 frist

[Kibana--KQL_IT_-CSDN]: https://knife.blog.csdn.net/article/details/126133551
[https_www.elastic.co_guide_en_kibana_7.7_kuery-query.html]: https://www.elastic.co/guide/en/kibana/7.7/kuery-query.html
[https_www.elastic.co_guide_en_kibana_7.7_lucene-query.html]: https://www.elastic.co/guide/en/kibana/7.7/lucene-query.html
[Link 1]: https://app.yinxiang.com/fx/d2ac6ff4-94c5-4e5f-9d4f-f5dfc344ede6
[2d648cc6b05b44778b4472d83d1520cc.png]: https://img-blog.csdnimg.cn/2d648cc6b05b44778b4472d83d1520cc.png
[84bfee197faf4100ba094378f14b7052.png]: https://img-blog.csdnimg.cn/84bfee197faf4100ba094378f14b7052.png