es 不支持创建mapping 后更新mapping ,但是支持扩展mapping字段 如果不事先创建映射 新增字段 会默认mapping类型创建,搜索不出来 ,因此要先创建好添加字段的mapping 映射,logstash 同步创建新字段 就会按mapping的类型执行搜索 栗子:
PUT /audit/_mapping/account
{
"properties": {
"wechat": {
"type": "text",
"fields": {
"keyword": {
"type": "keyword",
"ignore_above": 256
}
}
}
}
}