elasticsearch - 为什么Elasticsearch对于不同索引的同一查询返回的结果太不同？

Question

我首先使用Elasticsearch＆Kibana，所以请对我的问题保持冷静!

给我一个ES，该ES已经具有一个称为dai-*的索引，并且已经预先摄取了一些数据。为了安全地使用ES，我创建了一个名为ad-prior的新索引。然后，我继续向两个索引提供数据，如下所示:

{'obj_id': 'UHDRXEWEEK', 'event_type': 'PREC_AD_STARTED', 'event_id': '5c6b584373d', 'timestamp': 1550540223736L, 'channel_id': '123456789'}
{'obj_id': 'FDREJJSSHE', 'event_type': 'PREC_AD_STARTED', 'event_id': '4f53jhabd24', 'timestamp': 1550540225872L, 'channel_id': '123456789'}

然后，我尝试在Kibana的Discover上进行搜索:

event_type.keyword:PREC_AD_STARTED
event_type:PREC_AD_STARTED
event_type:'PREC_AD_STARTED'

索引 dai-*:以上搜索所有返回的 367 hits。

索引 ad-prior:上面的搜索返回了不同的结果: event_type:PREC_AD_STARTED返回 8 hits，其他两个返回 0 hits。

为什么上述搜索为 dai-*返回相同的结果，而为 ad-prior返回不同​​的结果？

更新

为了回答@Nishant Saini的评论，我在这里获取了 event_type的假设条件映射:

对于 dai-*:

"event_type": {
  "type": "text",
  "fields": {
    "keyword": {
      "type": "keyword",
      "ignore_above": 256
    }
  }
}

对于 ad-prior:

"event_type": {
  "type": "keyword",
  "ignore_above": 1024
}

Answer 1

情况1:event_type.keyword:PREC_AD_STARTED在索引dia-*中，属性event_type具有名为keyword的sub-field。上面的查询引用了此子字段，即event_type.keyword。对于dai-*中的匹配，将返回文档，而索引event_type中的字段ad-prior不存在此子字段，因此没有结果。
情况2:event_type:PREC_AD_STARTED两个索引中都存在event_type。即使在索引dai-*中，数据类型为text，并且由于默认情况下应用了标准分析器，因此重做的PREC_AD_STARTED将导致prec_ad_started。上面的查询将相同的分析器应用于输入字符串，然后还将其转换为prec_ad_started并因此与文档匹配。
在使用ad-prior索引的情况下，event_type的数据类型为keyword，因此按原样索引输入字符串。即使在搜索时也会发生相同的情况，因此在这种情况下，上面的查询也会匹配。
因此，对于两个索引，此查询都会为您提供结果。
情况3:event_type:'PREC_AD_STARTED'对于索引dai-*，因为查询在字段event_type上(不在event_type.keyword上)，当对text进行索引时，该字段的类型为PREC_AD_STARTED(默认分析器:标准)，由于standard analyzer，被索引的值为prec_ad_started。上面的查询正在搜索'PREC_AD_STARTED'(带单引号)。即使该字符串也将通过标准分析器传递，该标准分析器也转换为prec_ad_started，因此此查询匹配。
如果是ad-prior索引，则event_type的类型为keyword，这意味着无需任何修改即可按原样编制索引。由于我们正在查询字段event_type，因此该查询将不应用任何分析器(因为数据类型为keyword)，因此将搜索'PREC_AD_STARTED'(不是PREC_AD_STARTED)，因此没有匹配项。