ES查询字符串query_string的使用（2021-05-27）

最新推荐文章于 2025-02-13 17:08:34 发布

原创最新推荐文章于 2025-02-13 17:08:34 发布 · 4.2k 阅读

1 ·

CC 4.0 BY-SA版权

文章标签：

#elasticsearch #es

ES 专栏收录该内容

6 篇文章

订阅专栏

本文详细介绍了Elasticsearch的query_string查询，包括OR、AND条件查询，多字段组合查询，指定字段查询，不等值查询，字段及查询条件通配符，存在和不存在查询。query_string查询提供了一种灵活的语法，类似于SQL，使得构建复杂的查询变得更加简单。

0. 前言

查询字符串有一点写SQL的影子了，相对来说查询比较方便。查询分为三层嵌套结构，首先最外层的query，表示查询上下文，query_string地位跟match、term相同，表示查询类型，内层的query表示查询条件。
通过query_string组合查询条件要比使用纯json嵌套结构方便太多太多了。本文主要讲述如何使用query_string的语法完全替代纯json的语法。

1.OR条件查询

下面使用的是or条件进行查询，即地区要么是山东省东营市要么是宁夏回族自治区吴忠市，但是必须要注意的是OR和后面要讲的and都必须要大写

{
    "track_total_hits":true,
    "query":{
        "query_string":{
            "default_field":"device.地区",
            "query":"东营市 OR 吴忠市"
        }
    }
}

2. AND条件查询

and条件插件就是条件连接词为and

{
"track_total_hits":true,
    "query":{
        "query_string":{
            "default_field":"device.地区",
            "query":"吴忠市 AND 忠市"
        }
    }
}

3. 多字段组合查询

如果查询字段是多个，那么字段需要写fields，而不是default_field,并且是一个数组结构。可能比较疑惑，那query条件咋写呢。这个无所谓，比如我们要查<device.地区>字段为99000844071815和<device.deviceId>字段为宁夏回族自治区吴忠市，只需要将两个条件拼接到query中即可，顺序都无所谓。

{
"track_total_hits":true,
    "query":{
        "query_string":{
            "fields":["device.地区", "device.deviceId"],
            "query":"99000844071815 AND 忠市"
        }
    }
}

4. 指定字段查询

上面三中指定要查询的数组虽然可以实现，但是这种写法很难让人看懂。更加容易理解的写法是类似SQL中的field1=aa,field2=bb. es同样支持类似写法

{
"track_total_hits":true,
    "query":{
        "query_string":{
            "query":"device.地区:东营市 OR (device.地区:吴忠市 AND device.deviceId:99000844071815)"
        }
    }
}

5. 不等值查询

query_string同样支持范围查询。要查询的范围放在中括号中，如果不知道下界，可以写代替，如果不指定上界同样也可以写。通过这种通配符可以解决需要比较大于、小于的问题。比如如果需要指定大于某值，写[500 TO *]，小于某值写[* TO 500]

{
"track_total_hits":true,
    "query":{
        "query_string":{
            "query":"analyzTime:[* TO 500]"
        }
    }
}

下面是一个日期范围查询的例子

{
"track_total_hits":true,
    "query":{
        "query_string":{
            "query":"@timestamp:[2021-01-11T07:01:38.542Z TO 2021-01-15T07:01:38.542Z]"
        }
    }
}

再或者:

{
"track_total_hits":true,
    "query":{
        "query_string":{
            "query":"@timestamp:[now-30d TO now]"
        }
    }
}

使用时间函数要注意，时间函数计算的时候是0时区的时间，我们是东八区，需要手动+8h或者指定时区，另外在日期字符串中不能包含空格，所以需要用T字符代替。

6. 字段通配符

字段通配符表示要查询的字段可能有很多。不一一写了而是采用通配符的形式，比如直接将字段指定为*.

{
"track_total_hits":true,
  "query":{
      "query_string":{
          "fields":["device.*"],
          "query":"智压洋"
      }
  }
}

7.查询条件通配符

字段可以是通配符，查询条件同样可以写通配符，比如下面的查询

{
"track_total_hits":true,
    "query":{
        "query_string":{
            "fields":["device.*"],
            "query":"山东省*"
        }
    }
}

如果将字段和内容都用通配符了，就变成*:*了，表示查询所有字段的所有内容，比如"query":{"query_string":{"query":"*:* AND processTime:[now+8h-1d TO now+8h]"}}

8.存在查询

由于es索引的约束比较弱，因此在插入数据的时候可能数据格式不一致，比如有些文档有a字段，有些没有，但是如果我们只想要包含a字段的文档，就需要使用_exists_关键字,表示存在，且是存在对应字段。

{
"track_total_hits":true,
    "query":{
        "query_string":{
            "query":"@timestamp:[2021-01-12T16:11:22 TO 2021-06-01T08:08:02] AND _exists_:device"
        }
    }
}

9. 不存在查询

与上一节相反我们可能仅仅关心缺失的字段，则使用关键字_missing_,表示不存在或为空，此处为空建议用exists取非；

{
"track_total_hits":true,
    "query":{
        "query_string":{
            "query":"@timestamp:[2021-01-12T16:11:22 TO 2021-06-01T08:08:02] AND _missing_:device"
        }
    }
}

missing关键字好像不生效，但是可以使用NOT _exists_关键字。

{
"track_total_hits":true,
    "query":{
        "query_string":{
            "query":"@timestamp:[2021-01-12T16:11:22 TO 2021-06-01T08:08:02] AND NOT _exists_:deviceId"
        }
    }
}