Elasticsearch：search template

原创 已于 2022-12-12 14:59:56 修改 · 3.7k 阅读 · 5 ·
CC 4.0 BY-SA版权
本文为博主原创文章，未经博主允许不得转载。
文章标签：

#Elasticsearch #Elastic #elasticsearch #大数据

于 2019-09-05 14:10:13 首次发布
本文深入探讨Elasticsearch搜索模板的使用，介绍其避免代码重复、简化查询、实现预定义搜索等优势，并通过实例展示如何定义、更新、运行搜索模板，以及如何利用模板参数、条件判断等功能增强查询灵活性。

摘要生成于 C知道 ，由 DeepSeek-R1 满血版支持， 前往体验 >

我们发现一些用户经常编写了一些非常冗长和复杂的查询 - 在很多情况下，相同的查询会一遍又一遍地执行，但是会有一些不同的值作为参数来查询。在这种情况下，我们觉得使用一个 search template（搜索模板）来做这样的工作非常合适。搜索模板允许你使用可在执行时定义的参数定义查询。

Search template 的好处是：

  • 避免在多个地方重复代码
  • 更容易测试和执行您的查询
  • 在应用程序间共享查询
  • 允许用户只执行一些预定义的查询
  • 将搜索逻辑与应用程序逻辑分离

定义一个Search template

首先，我们来定义一个 search template 来看看它到底是什么东西。使用_scripts端点将模板存储在集群状态中。在 search template中使用的语言叫做 mustache。

POST _scripts/my_search_template
{
  "script": {
    "lang": "mustache",
    "source": {
      "query": {
        "match": {
          "{{my_field}}": "{{my_value}}"
        }
      }
    }
  }
}

在这里，我们定义了一个叫做 my_search_template 的 search template。如果我们想更新这个 search template，我们可以直接进行修改，然后再次运行上面的命令即可。

我们可以试验如下的命令来验证我们的 search template：

POST _render/template
{
  "id": "my_search_template",
  "params": {
    "my_field": "city",
    "my_value": "Beijing"
  }
}

上述命令输出搜索请求正文：

{
  "template_output": {
    "query": {
      "match": {
        "city": "Beijing"
      }
    }
  }
}

我们也可以使用如下的 API 来测试 inline templates：

POST _render/template
{
  "source": {
    "query": {
      "match": {
        "{{my_field}}": "{{my_value}}"
      }
    }
  },
  "params": {
    "my_field": "city",
    "my_value": "Beijing"
  }
}

上面的命令将返回和上述命令一样的结果。

运行一个带有 template 的搜索

要使用搜索模板运行搜索，请使用搜索模板 API。 你可以为每个请求指定不同的参数。

在 match 的字段里，我们定义了两个参数：my_field 及 my_value。下面，我们来首先建立一个叫做 twitter 的索引：

PUT twitter/_doc/1
{
  "user" : "双榆树-张三",
  "message" : "今儿天气不错啊，出去转转去",
  "uid" : 2,
  "age" : 20,
  "city" : "北京",
  "province" : "北京",
  "country" : "中国",
  "address" : "中国北京市海淀区",
  "location" : {
    "lat" : "39.970718",
    "lon" : "116.325747"
  }
}

PUT twitter/_doc/2
{
  "user" : "虹桥-老吴",
  "message" : "好友来了都今天我生日，好友来了,什么 birthday happy 就成!",
  "uid" : 7,
  "age" : 90,
  "city" : "上海",
  "province" : "上海",
  "country" : "中国",
  "address" : "中国上海市闵行区",
  "location" : {
    "lat" : "31.175927",
    "lon" : "121.383328"
  }
}

我们这里把上面的两个文档存于到 twitter 的i ndex 之中。我们现在可以使用我们刚才定义的 search template 来进行搜索：

GET twitter/_search/template
{
  "id": "my_search_template",
  "params": {
    "my_field": "city",
    "my_value": "北京"
  }
}

显示的结果是：

{
  "took" : 1,
  "timed_out" : false,
  "_shards" : {
    "total" : 1,
    "successful" : 1,
    "skipped" : 0,
    "failed" : 0
  },
  "hits" : {
    "total" : {
      "value" : 1,
      "relation" : "eq"
    },
    "max_score" : 0.9808292,
    "hits" : [
      {
        "_index" : "twitter",
        "_type" : "_doc",
        "_id" : "1",
        "_score" : 0.9808292,
        "_source" : {
          "user" : "双榆树-张三",
          "message" : "今儿天气不错啊，出去转转去",
          "uid" : 2,
          "age" : 20,
          "city" : "北京",
          "province" : "北京",
          "country" : "中国",
          "address" : "中国北京市海淀区",
          "location" : {
            "lat" : "39.970718",
            "lon" : "116.325747"
          }
        }
      }
    ]
  }
}

显示它只显示了我们的 city 为北京的一个文档，另外一个上海的文档没有做任何的显示。说明我们定义的 search template 是工作的。

运行多个模板的搜索

要使用单个请求运行多个模板化搜索，请使用多搜索模板 API。 与多个单独的搜索相比，这些请求通常具有更少的开销和更快的速度：

GET my-index/_msearch/template
{ }
{ "id": "my-search-template", "params": { "query_string": "hello world", "from": 0, "size": 10 }}
{ }
{ "id": "my-other-search-template", "params": { "query_type": "match_all" }}

设置默认值

要为变量设置默认值，请使用以下语法：

{{my-var}}{{^my-var}}default value{{/my-var}}

如果模板化搜索未在其参数中指定值，则搜索将使用默认值。 例如，以下模板设置了 from 和 size 的默认值。

POST _render/template
{
  "source": {
    "query": {
      "match": {
        "message": "{{query_string}}"
      }
    },
    "from": "{{from}}{{^from}}0{{/from}}",
    "size": "{{size}}{{^size}}10{{/size}}"
  },
  "params": {
    "query_string": "hello world"
  }
}

URL encode strings

使用 {{#url}} 函数对字符串进行 URL 编码。

POST _render/template
{
  "source": {
    "query": {
      "term": {
        "url.full": "{{#url}}{{host}}/{{page}}{{/url}}"
      }
    }
  },
  "params": {
    "host": "http://example.com",
    "page": "hello-world"
  }
}

模板呈现为：

{
  "template_output": {
    "query": {
      "term": {
        "url.full": "http%3A%2F%2Fexample.com%2Fhello-world"
      }
    }
  }
}

连接数值

使用 {{#join}} 函数将数组值连接为逗号分隔的字符串。 例如，以下模板连接两个电子邮件地址。

POST _render/template
{
  "source": {
    "query": {
      "match": {
        "user.group.emails": "{{#join}}emails{{/join}}"
      }
    }
  },
  "params": {
    "emails": [ "user1@example.com", "user_one@example.com" ]
  }
}

模板呈现为：

{
  "template_output": {
    "query": {
      "match": {
        "user.group.emails": "user1@example.com,user_one@example.com"
      }
    }
  }
}

你还可以指定自定义分隔符。

POST _render/template
{
  "source": {
    "query": {
      "range": {
        "user.effective.date": {
          "gte": "{{date.min}}",
          "lte": "{{date.max}}",
          "format": "{{#join delimiter='||'}}date.formats{{/join delimiter='||'}}"
	      }
      }
    }
  },
  "params": {
    "date": {
      "min": "2098",
      "max": "06/05/2099",
      "formats": ["dd/MM/yyyy", "yyyy"]
    }
  }
}

模板呈现为：

{
  "template_output": {
    "query": {
      "range": {
        "user.effective.date": {
          "gte": "2098",
          "lte": "06/05/2099",
          "format": "dd/MM/yyyy||yyyy"
        }
      }
    }
  }
}

转换为 JSON

使用 {{#toJson}} 函数将变量值转换为其 JSON 表示形式。

例如，以下模板使用 {{#toJson}} 传递数组。 为了确保请求体是有效的 JSON，source 以字符串格式编写。

POST _render/template
{
  "source": "{ \"query\": { \"terms\": { \"tags\": {{#toJson}}tags{{/toJson}} }}}",
  "params": {
    "tags": [
      "prod",
      "es01"
    ]
  }
}

模板呈现为：

{
  "template_output": {
    "query": {
      "terms": {
        "tags": [
          "prod",
          "es01"
        ]
      }
    }
  }
}

你还可以使用 {{#toJson}} 传递对象。

POST _render/template
{
  "source": "{ \"query\": {{#toJson}}my_query{{/toJson}} }",
  "params": {
    "my_query": {
      "match_all": { }
    }
  }
}

模板呈现为：

{
  "template_output" : {
    "query" : {
      "match_all" : { }
    }
  }
}

你还可以传递一个对象数组：

POST _render/template
{
  "source": "{ \"query\": { \"bool\": { \"must\": {{#toJson}}clauses{{/toJson}} }}}",
  "params": {
    "clauses": [
      {
        "term": {
          "user.id": "kimchy"
        }
      },
      {
        "term": {
          "url.domain": "example.com"
        }
      }
    ]
  }
}

模板呈现为：

{
  "template_output": {
    "query": {
      "bool": {
        "must": [
          {
            "term": {
              "user.id": "kimchy"
            }
          },
          {
            "term": {
              "url.domain": "example.com"
            }
          }
        ]
      }
    }
  }
}

条件判断

在 Mustache 语言中，它没有 if/else 这样的判断，但是你可以定 section 来跳过它如果那个变量是 false 还是没有被定义：

{{#param1}}
    "This section is skipped if param1 is null or false"
{{/param1}}

我们定义如下的一个 search template:

POST _scripts/docs_from_beijing_and_age
{
  "script": {
    "lang": "mustache",
    "source": 
"""
    {
      "query": {
        "bool": {
          "must": [
            {
              "match": {
                "city": "{{search_term}}"
              }
            }
            {{#search_age}}
            ,
            {
              "range": {
                "age": {
                  "gte": {{search_age}}
                }
              }
            }
            {{/search_age}}
          ]
        }
      }
    }
"""
  }
}

在这里，我们同时定义了两个变量：search_term 及 search_age。针对 search_age，我们做了一个判断，如果它有定义，及做一个 range 的查询。如果没有定义，就只用 search_term。那么我们来做如下的实验：

GET twitter/_search/template
{
  "id": "docs_from_beijing_and_age",
  "params": {
    "search_term": "北京"
  }
}

显示的结果是：

{
  "took" : 0,
  "timed_out" : false,
  "_shards" : {
    "total" : 1,
    "successful" : 1,
    "skipped" : 0,
    "failed" : 0
  },
  "hits" : {
    "total" : {
      "value" : 1,
      "relation" : "eq"
    },
    "max_score" : 0.9808292,
    "hits" : [
      {
        "_index" : "twitter",
        "_type" : "_doc",
        "_id" : "1",
        "_score" : 0.9808292,
        "_source" : {
          "user" : "双榆树-张三",
          "message" : "今儿天气不错啊，出去转转去",
          "uid" : 2,
          "age" : 20,
          "city" : "北京",
          "province" : "北京",
          "country" : "中国",
          "address" : "中国北京市海淀区",
          "location" : {
            "lat" : "39.970718",
            "lon" : "116.325747"
          }
        }
      }
    ]
  }
}

显然，city 为北京的文档已经被搜索到了。如果我们做如下的查询：

GET twitter/_search/template
{
  "id": "docs_from_beijing_and_age",
  "params": {
    "search_term": "北京",
    "search_age": "30"
  }
}

我们将搜索不到任何的结果，这是因为在这次查询中 search_age 已经被启用，而且在数据库中没有一个文档是来自“北京”，并且年龄大于 30 的。我们可以做如下的查询：

GET twitter/_search/template
{
  "id": "docs_from_beijing_and_age",
  "params": {
    "search_term": "北京",
    "search_age": "20"
  }
}

 那么这次的显示结果为：

{
  "took" : 0,
  "timed_out" : false,
  "_shards" : {
    "total" : 1,
    "successful" : 1,
    "skipped" : 0,
    "failed" : 0
  },
  "hits" : {
    "total" : {
      "value" : 1,
      "relation" : "eq"
    },
    "max_score" : 1.9808292,
    "hits" : [
      {
        "_index" : "twitter",
        "_type" : "_doc",
        "_id" : "1",
        "_score" : 1.9808292,
        "_source" : {
          "user" : "双榆树-张三",
          "message" : "今儿天气不错啊，出去转转去",
          "uid" : 2,
          "age" : 20,
          "city" : "北京",
          "province" : "北京",
          "country" : "中国",
          "address" : "中国北京市海淀区",
          "location" : {
            "lat" : "39.970718",
            "lon" : "116.325747"
          }
        }
      }
    ]
  }
}

显然这次我们搜索到我们想要的结果。

查询 search template

GET _scripts/<templateid>

针对我们的情况：

GET _scripts/docs_from_beijing_and_age

显示的结果为：

{
  "_id" : "docs_from_beijing_and_age",
  "found" : true,
  "script" : {
    "lang" : "mustache",
    "source" : """
    {
      "query": {
        "bool": {
          "must": [
            {
              "match": {
                "city": "{{search_term}}"
              }
            }
            {{#search_age}}
            ,
            {
              "range": {
                "age": {
                  "gte": {{search_age}}
                }
              }
            }
            {{/search_age}}
          ]
        }
      }
    }
"""
  }
}

这个正是我们之前定义的一个 search template。

删除一个 search template

我们可以通过如下的命令来删除一个已经创建的 search template:

DELETE _scripts/<templateid>

验证 search template

我们可以通过 _render 端点来验证我们的 search template。比如：

GET _render/template
{
  "source": """
    {
      "query": {
        "bool": {
          "must": [
            {
              "match": {
                "city": "{{search_term}}"
              }
            }
            {{#search_age}}
            ,
            {
              "range": {
                "age": {
                  "gte": {{search_age}}
                }
              }
            }
            {{/search_age}}
          ]
        }
      }
    }
""",
  "params": {
    "search_term": "北京",
    "search_age": "20"
  }
}

那么显示的结果是：

{
  "template_output" : {
    "query" : {
      "bool" : {
        "must" : [
          {
            "match" : {
              "city" : "北京"
            }
          },
          {
            "range" : {
              "age" : {
                "gte" : 20
              }
            }
          }
        ]
      }
    }
  }
}

显然，这个就是我们想要的结果。

参考：

【1】Search Template | Elasticsearch Guide [7.4] | Elastic

博客
Elastic 线下 Meetup 将于 2025 年 7 月 27 号下午在深圳举行
07-01 1209
2025ElasticMeetup深圳站将于7月27日在腾讯滨海大厦举行，聚焦AI驱动搜索技术前沿。活动邀请Elastic、腾讯云等专家分享向量搜索、RAG技术演进、百亿级AISearch优化实践等议题，涵盖搜索智能化、多模态检索、日志系统应用等热点。刘晓国、陈曦等资深技术人将深入解析行业趋势，活动还设有茶歇交流及抽奖环节。需提前实名报名并验证入场。
博客
Elastic：如何成为一名 Elastic 认证工程师，Elastic 认证分析师及 Elastic 认证可观测性工程师
10-28 2万+
Elasticsearch 无疑是是目前世界上最为流行的大数据搜索引擎。根据 DB - Engines 的统计，Elasticsearch 雄踞排行榜第一名，并且市场还在不断地扩大：能够成为一名 Elastic 认证工程师也是很多开发者的梦想。这个代表了 Elastic 的最高认证，在业界也得到了很高的认知度。得到认证的工程师，必须除了具有丰富的 Elastic Stack 知识，而且必须有丰富的操作及有效的解决问题的能力。拥有这个认证证书，也代表了个人及公司的荣誉。针对个人的好处是，你可以..
博客
Elastic：开发者上手指南
02-25 16万+
你们好，我是Elastic的刘晓国。如果大家想开始学习Elastic的话，那么这里将是你理想的学习园地。在我的博客几乎涵盖了你想学习的许多方面。在这里，我来讲述一下作为一个菜鸟该如何阅读我的这些博客文章。我们可以按照如下的步骤来学习：1)Elasticsearch简介：对Elasticsearch做了一个简单的介绍2)Elasticsearch中的一些重要概念:cluster,n..........................................................
博客
Elastic：培训视频 - ​在生产环境中配置 Fleet Server 和 Elastic Agent 之间的安全
01-06 1万+
在这篇文章中，我将会把我写的有些内容录制成视频，供大家参考。希望对大家有所帮助。优酷的视频频道地址在这里。Elastic 简介及Elastic Stack 安装：优酷，腾讯 Elastic Stack docker 部署：优酷，腾讯 Elasticsearch中的一些重要概念（Cluster/Shards/Replica/Document/Type/Index）：优酷，腾讯 开始使用El...............
博客
Elasticsearch 简介
08-08 17万+
Elasticsearch是一个非常强大的搜索引擎。它目前被广泛地使用于各个IT公司。Elasticsearch是由Elastic公司创建并开源维护的。它的开源代码位于https://github.com/elastic/elasticsearch。同时，Elastic公司也拥有Logstash及Kibana开源项目。这个三个开源项目组合在一起，就形成了 ELK软件栈。他们三个共同形成了一个强大的...
博客
Elasticsearch：使用 Significant Terms Aggregation 识别被盗信用卡的常见交易
07-08 252
使用 Significant Terms Aggregation 识别被盗信用卡的常见交易。
博客
揭示独特模式：Elasticsearch 中 significant terms 聚合指南
07-08 856
摘要：Elasticsearch的significantterms聚合功能能够通过统计分析方法发现数据中非显而易见的有价值洞察。与普通terms聚合不同，它会比较子数据集与整体数据集的词项分布，识别出统计上显著异常的关联模式。文章通过手机销售数据分析的具体案例，展示了如何发现不同职业群体对iPhone16的独特偏好，以及如何结合语义搜索识别与"good performance"评价显著相关的机型。这种聚合方法在消费者行为分析、欺诈检测、质量评价等多个领域都有重要应用价值，能够揭示数据背后
博客
使用 collapse 和 cardinality 实现高效分页在 Elasticsearch 中
07-05 851
本文介绍了在Elasticsearch中使用collapse功能对产品变体进行分组时遇到的分页挑战。通过示例展示了如何将collapse与cardinality聚合结合使用，以获取真实的唯一分组数量，从而解决分页问题。文章指出，单独使用collapse时返回的hits.total.value反映的是原始文档数量而非分组后数量，会导致分页显示错误。解决方案是在collapse查询中添加针对相同字段的cardinality聚合，准确计算唯一值数量，实现可靠分页。这种方法特别适用于电商等需要展示产品变体的场景。
博客
APM 最佳实践：从业者指南中的注意事项与禁忌
07-04 648
《高效应用性能管理（APM）实践指南》摘要 应用性能管理（APM）是现代软件系统维护的关键实践，通过持续监控应用程序的前后端性能，确保业务连续性和用户体验。本文系统性地阐述了APM的核心原则、实施策略和最佳实践。 核心要点包括： 现代APM需整合追踪（traces）、指标（metrics）和日志（logs）三类数据，采用自动检测与关键业务手动检测相结合的方案； 有效策略应包含性能监控、错误跟踪、基础设施监控和用户体验指标四个维度； 实施时应遵循端到端可见性、实时监控、以用户为中心等原则，避免过度检测（建议控
博客
Elasticsearch：异常检测入门
07-03 713
本文介绍了在Elastic Stack 9.0.2中使用机器学习进行异常检测的实践方法。通过Kibana自带的示例数据，展示了如何创建三种不同类型的异常检测作业：单指标作业、多指标作业和群体作业。文章详细讲解了数据探索、作业配置、结果分析等关键步骤，并演示了如何使用SingleMetricViewer和AnomalyExplorer工具查看检测结果。此外，还介绍了利用机器学习模型进行未来行为预测的方法。整个过程突出了机器学习在运维场景中的价值，能够自动识别异常事件，减轻人工监控负担，帮助运维人员提前发现潜在
博客
祝贺我们首批通过 Elastic 认证的生成式 AI 销售合作伙伴
07-02 947
摘要：Elastic推出生成式AI合作伙伴认证计划，首批认证的合作伙伴包括GIOS、KPMG等6家欧洲和中东企业。这些合作伙伴已完成严格的ElasticAI培训，具备开发RAG解决方案等能力。Elastic通过向量数据库和AI集成，简化企业AI应用开发流程。认证合作伙伴将帮助客户克服AI试点到规模化应用的挑战，提供专业技术支持和创新方案。Elastic强调合作伙伴在推动AI解决方案落地中的关键作用，同时提醒用户注意第三方AI工具的数据安全风险。（149字）
博客
使用 JavaScript、Mastra 和 Elasticsearch 构建一个具备代理能力的 RAG 助手
07-02 1130
​在这篇文章中，我们将探索如何使用 Mastra 和一个轻量级的 JavaScript Web 应用来构建一个具备代理能力的 RAG 助手，并与它进行交互。通过将这个代理连接到 Elasticsearch，我们为它提供了访问结构化球员数据的能力，并能执行实时统计聚合，从而为你提供基于球员数据的推荐。前往 GitHub 仓库查看详情；README 文件提供了如何克隆并在本地运行该应用的说明。
博客
Elastic 构建 Elastic Cloud Serverless 的历程
07-01 660
摘要：Elastic团队分享了构建Elastic Cloud Serverless无服务器平台的经验。该平台通过云原生架构重构，将Elastic Stack从有状态系统转变为按需扩展的无服务器服务，利用对象存储替代本地磁盘，并采用Kubernetes实现跨云部署。文章详细介绍了架构演进、性能优化、自动扩缩容机制和定价模型设计，强调通过解耦搜索/索引层、减少API调用等技术突破，在AWS/GCP/Azure三大云上实现了高可用性。平台采用细胞式架构确保韧性，并通过统一控制平面管理分布式资源，最终实现了运维简化
博客
Elasticsearch 排序性能提升高达 900 倍
07-01 1062
Elasticsearch 9.0.1和即将发布的9.1版本大幅提升了排序性能，float/half_float排序速度提升83-920倍，integer排序延迟改善41-531倍。优化采用BKD树与distance查询结合的新方法，通过跳过无效数据块显著提高效率。这些改进已应用于Elastic Cloud Serverless，并回溯至8.19版本。性能提升在NYCTaxis和http_logs基准测试中得到验证，将大幅降低Observability、Security等场景的搜索延迟和基础设施成本。Ela
博客
你以为 Elastic 只做 SIEM？再好好想想！
06-28 999
Elastic重新定义XDR安全防护，通过收购Endgame技术深度整合EDR能力，打造原生统一的安全平台。该方案突破传统EDR的数据处理瓶颈，支持PB级端点、网络、云端数据的实时关联分析，提供跨厂商的无缝防护。平台包含获奖级恶意软件防护、勒索软件防御和行为检测能力，支持Windows/macOS/Linux全平台。创新采用"数据湖"付费模式，仅按实际使用数据计费，包含无限端点授权。通过开源检测规则、AI辅助分析和自动故障排查等功能，实现透明化安全运营。在AV-Comparatives测
博客
使用 Elasticsearch 构建一个用于真实健康数据的 MCP 服务器
06-27 998
摘要：本文介绍了如何使用FastMCP框架和Elasticsearch构建一个MCP（Model Context Protocol）服务器来管理和分析Apple Health健康数据。文章详细讲解了MCP的三个核心组件（Resources、Tools和Prompts）的实现方法，展示了如何将Elasticsearch作为数据存储后端，并通过Claude Desktop实现自然语言交互查询。该解决方案支持动态数据查询、趋势分析和可视化展示，为LLM代理提供了实时健康数据访问能力。文中包含完整的代码实现、测试方
博客
Elastic：AI，开箱即用！
06-26 1172
Elastic宣布其AI功能现已在Elastic Cloud中默认启用，消除了传统AI部署的复杂流程。该解决方案提供了开箱即用的托管LLM，支持安全、可观测性和搜索领域的AI应用，包括威胁检测、根因分析和自然语言查询等功能。Elastic独特的优势在于将AI深度集成到现有工作流中，支持检索增强生成(RAG)技术，并能统一访问各类数据源。同时平台保持开放架构，允许用户连接第三方LLM。该方案显著降低了AI使用门槛，使企业能立即获得AI驱动的安全防护和运维洞察，无需额外配置或签署第三方合同。
博客
Elastic 被《Forrester Wave™：2025 年第二季度安全分析平台》评为领导者
06-26 1004
Elastic入选Forrester 2025年Q2安全分析平台领导者象限。报告指出，Elastic以工程驱动方式解决安全问题，整合SIEM、XDR和云安全于统一平台，提供AI驱动的检测、开放架构和灵活部署。其优势包括：RAG技术加速警报处理、透明AI增强分析、MITRE ATT&CK规则库，以及混合部署支持。客户数据显示，该平台可缩短99%平均修复时间。Elastic Security将多种安全功能整合，支持SaaS/本地部署，所有检测规则开源。近期与AWS达成战略合作，持续强化安全创新。
博客
在 Logstash 中使用 Ruby 脚本
06-25 1412
摘要：本文介绍了Logstash中Ruby filter插件的使用方法，用于实现高级数据转换。Ruby filter允许在Logstash管道中执行自定义Ruby代码，适用于标准过滤器无法处理的复杂场景，如深度嵌套数据处理、高级字符串处理和复杂业务逻辑实现。文章通过基础示例展示了内联Ruby代码和外部脚本的使用方法，并通过高级示例演示了如何操作嵌套数据结构、拆分事件、执行外部命令解析输出以及使用Ruby内置库。Ruby filter为Logstash管道提供了强大的扩展能力，能够满足各种复杂数据处理需求。
博客
开始使用 Elastic AI Assistant for Observability 和阿里 Qwen3
06-25 1010
本文演示了如何结合Qwen3大模型与Elastic AI Assistant进行日志分析。首先通过Elastic DevTools添加了一条代理服务错误日志记录，然后配置AI Assistant连接器。在Observability模块中安装知识库后，用户可通过自然语言查询（如询问代理服务的临时错误原因）与日志数据进行交互分析。文章还提到当前版本（9.0.01）存在特殊配置需求，并预告后续将介绍使用Kibana创建知识库的方法。整个过程展示了AI技术如何帮助开发者更直观地理解和排查系统问题。
评论 4
添加红包

请填写红包祝福语或标题

个

红包个数最小为10个

元

红包金额最低5元

当前余额3.43元 前往充值 >
需支付：10.00元
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包
实付元
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明：

1.余额是钱包充值的虚拟货币，按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载，可以购买VIP、付费专栏及课程。

余额充值