elasticsearch - 查询 elasticsearch 以查找没有 key 的文档

Question

我有这样的日志:

{
  "a":"XXX",
  "b":"YYY",
  "token":"acquired"
}

另外，我有没有这个 token 的日志键集。 Kibana 的术语面板通过将它们显示为 Missing fields(3047) 来告诉它们存在。 .如何查询所有没有 token 的文档 key 集？

Answer 1

您可以在 ES 中查询缺少的字段:

发件人:http://www.elasticsearch.org/guide/en/elasticsearch/guide/current/_dealing_with_null_values.html

GET /my_index/posts/_search
{
    "query" : {
        "filtered" : {
            "filter": {
                "missing" : { "field" : "token" }
            }
        }
    }
}