Question

我正在尝试在kibana 5.3上找到解析UserAgent的方法，以便我得到以下响应：

"aws-sdk-java/1.11.76 Mac_OS_X/10.12.5"
"aws-sdk-java/1.11.78 Mac_OS_X/10.11.2"
"aws-sdk-java/1.11.80 Mac_OS_X/10.10.1"
"aws-sdk-java/1.11.83 Mac_OS_X/10.12.2"
"aws-sdk-java/1.10.33 Mac_OS_X/10.12.3"

等。

我试过了吗？替换数字

{
  "query": {
    "match": {
      "userAgent": {
        "query": "aws-sdk-java/?.??.?? Mac_OS_X/??.??.??",
        "type": "phrase"
      }
    }
  }
}

或＆lt; 0-100＆gt;数字范围

{
  "query": {
    "match": {
      "userAgent": {
        "query": "aws-sdk-java/<0-100>.<0-100>.<0-100> Mac_OS_X/<0-100>.<0-100>.<0-100>",
        "type": "phrase"
      }
    }
  }
}

甚至是*

{
  "query": {
    "match": {
      "userAgent": {
        "query": "aws-sdk-java/*.*.* Mac_OS_X/*.*.*",
        "type": "phrase"
      }
    }
  }
}

没什么，Kibana从来没有找到任何东西，我需要这样做：

{
  "query": {
    "match": {
      "userAgent": {
        "query": "aws-sdk-java/*",
        "type": "phrase"
      }
    }
  }
}

然后它可以工作，但我不想排除其余的字符串。

字段userAgent属于字符串类型，他是可搜索和已分析。任何人都可以给我一个暗示我缺少的东西吗？感谢

Answer 1

您的keyword字段需要userAgent类型的子字段。或者，如果您依靠Elasticsearch来映射字符串字段it should have it by default。

添加此keyword字段后，例如：

{
  "userAgent": {
    "type" "text",
    "fields": {
      "keyword": {
        "type": "keyword",
        "ignore_above": 256
      }
    }
  }
}

您可以使用此查询：

{
  "query": {
    "regexp": {
      "userAgent.keyword": "aws-sdk-java/[0-9]+\\.[0-9]{2}\\.[0-9]{2} Mac_OS_X/[0-9]{2}\\.[0-9]{2}\\.[0-9]+"
    }
  }
}

ELK 5.3上的Lucene语法

1 个答案: