Kibana查詢語言（KQL）

尋覓beyond發表於2020-12-26

一.前言

　　現在大多數的公司都會使用ELK組合來對日誌資料的收集、儲存和提供查詢服務，這裡就不介紹什麼是ELK了，只介紹一些EKL中的查詢，也就是K（kibana）。

　　查詢資料庫，如果是MySQL，那麼就需要使用MySQL的語法；同樣的，在Kibana上查詢資料，也需要使用Kibana的語法，而Kibana的查詢語法叫做Kibana Query Language，簡稱KQL。

　　本文的內容主要來自ES的官網，簡單翻譯了一下，https://www.elastic.co/guide/en/kibana/7.7/kuery-query.html

　　原文連結：https://www.cnblogs.com/-beyond/p/14159002.html

二.KQL簡單介紹

　　KQL（Kibana Query Language），也就是在Kibana上面進行查詢時使用的語法。

　　Kibana中也可以使用Lucene的查詢語法，但是這裡就不介紹了，可以參考https://www.elastic.co/guide/en/kibana/7.7/lucene-query.html

三.使用索引匹配查詢

　　在Kibana中進行查詢的時候，建議使用指定索引查詢，這樣的效率更高，而不建議使用全域性查詢的方式。

　　比如查詢response為200的日誌，那麼就寫為response:200，這樣去查詢中response值為200的文件物件；

　　如果沒有指定response為200，那麼只是單純的查詢200，那麼可能會返回金額為200的文件物件（假設有金額欄位），查詢的效率不高，同時也會返回一些不需要的資料；　

四.Kibana查詢語法

例項1

response:200

　　上面這個表示式，會查詢出response欄位中包含200的文件物件，注意是包含，包含的是200這一個詞，比如下面幾種情況都會被查詢出來

200
hello world 200
hello 200 world

　　需要注意的是1200或者2001，是不能被查出來的。

例項2

message:"hello world yes"

　　上面這個表示式，是針對message欄位進行搜尋，在搜尋的時候不會區分大小寫，也就是說，Hello world YES也是會被搜尋出來的；

　　需要注意，上面的"hello world yes"使用了引號，這樣的話，這3個單詞會被作為一個詞進行查詢，不會再進行分詞，也就是說匹配的時候只會匹配hello world yes這樣的順序匹配，而不會匹配出helllo yes world；

例項3

message:hello world

　　上面這個表示式，針對message欄位進行搜尋，搜尋message中包含hello，或者包含world，或者兩者都包含的情況；

　　需要注意的是，不區分大小寫，也不會保證順序，也就是說，下面幾種情況都會被匹配

hello
world
Hello
World
hello world
Hello world
hello yes World
yes world
world yes

例項4

name:jane or addr:beijing

　　上面這個查詢條件，會查詢name欄位包含jane，或者addr欄位包含beijing的記錄，或者兩者都匹配；

　　需要注意的是，or表示“或”，不區分大小寫；

例項5

name:jane and addr:beijing

　　上面這個條件，會查詢name欄位包含jane，且addr欄位包含beijing的記錄。

例項6

name:jane and addr:beijing or job:teacher

　　上面這個查詢條件中，出現了and和or，需要記住的是，KQL中，and的優先順序高於or；

　　所以上面的查詢條件，會查詢name包含jane，且addr包含beijing的記錄，或者job包含teacher的記錄，可以使用括號來讓上面的查詢條件更好理解：

(name:jane and addr:beijing) or job:teacher

例項7

name:jane and (addr:beijing or job:teacher)

　　上面這個表示式，主要是想表明，可以使用括號來控制匹配的優先順序。

例項8

response:(200 or 404)

　　上面這個表示式，會查詢response包含200，或者response包含404，或者包含200和404的記錄（不保證順序、不區分大小寫）；

　　同時可以使用and來表示“且”的關係。

例項9

not response:200

　　上面這個查詢條件，會查詢出response欄位中不包含200的記錄。

例項10

response:200 and not yes

　　上面這個查詢條件，會查詢response包含200，並且整條記錄不包含yes的資料記錄；

例項11

response:(200 and not yes)

　　上面這個查詢條件，會查詢response包含200，且response不包含yes的記錄。

例項12

response:*

　　上面這個查詢條件，會返回所有包含response欄位的文件物件。

例項13

machine*:hello

　　上面這個查詢條件，會查詢machine1欄位，machine2欄位...machinexyzabc欄位包含hello的資料記錄，這裡只是想表達，對於搜尋的欄位列，也是可以使用萬用字元的。

五.總結

　　KQL還是比較簡單地，主要記住KQL匹配時是不區分大小寫的，可以使用括號改變匹配優先順序；

　　另外一個要點就是，匹配是“包含”，某個欄位“包含”某個詞，而不是某個欄位的值為某個詞。