kibana 查詢語法

根據某個字段查詢

• 精確匹配： agent:"Mozilla/5.0"

• 若是不帶雙引號，只要包含指定值就能夠搜索到 agent:Mozilla/5.0

• 若是是數值類型沒有以上區別

數組範圍查詢

• 指定區間： response:[100 TO 200]

• 大於等於指定數值的： response:[201 TO *]

• 小於等於指定數值的： response:[* TO 200]

注意：TO 必須是大寫

從指定時間到如今/或者查詢指定時間前數據

• 2015-05-20T09:20:41.943Z以後的數據： @timestamp:{2015-05-20T09:20:41.943Z TO *}

• 2015-05-20T09:20:41.943Z以前的數據： @timestamp:{* TO 2015-05-20T09:20:41.943Z }

• 指定時間範圍： @timestamp:{2015-05-20T09:20:41.943Z TO 015-05-22T09:20:41.943Z}

注意：TO 必須是大寫；09:20:41事實上是17:20:41，存在8個小時差

正則匹配

• 包含指定值： request:/uploads*/

• 不包含指定值： !request:/uploads*/

邏輯查詢

• AND（與關係數據庫同樣） request:/uploads*/ AND response:404

• OR（與關係數據庫同樣） request:/uploads*/ OR response:200

• 組合查詢: (uid OR token) AND version

存在/不存在

• 存在host字段但不存在url字段： _exists_:host AND _missing_:url

特殊轉義字符

`+ – && || ! () {} [] ^」 ~ * ? : \`

以上字符看成值搜索的時候須要用\轉義

 

參考：

https://segmentfault.com/a/1190000002972420

http://blog.csdn.net/pistolove/article/details/53693963