Kibana Query Language (KQL)

Kibana Query Language (KQL) 是一种用于在 Kibana 中查询和过滤 Elasticsearch 数据的语言。KQL 提供了一种简单而强大的方式来构建查询,从而在 Kibana 中进行数据分析和可视化。以下是 KQL 的一些基本概念和示例。

基本语法

KQL 的基本语法很简单,主要由字段、运算符和值组成。常见的运算符包括 :, AND, OR, 和 NOT

字段和值
kql 复制代码
field_name: "value"

例如,查询 status 字段值为 200 的文档:

kql 复制代码
status: 200
匹配多个值

使用 OR 运算符匹配多个值:

kql 复制代码
status: 200 OR status: 404
排除值

使用 NOT 运算符排除特定值:

kql 复制代码
NOT status: 500
组合条件

使用 AND 运算符组合多个条件:

kql 复制代码
status: 200 AND extension: "jpg"

范围查询

KQL 支持范围查询,可以用于数值、日期等字段。使用 ><>=<= 运算符进行范围查询。

例如,查询 bytes 字段值大于 1000 的文档:

kql 复制代码
bytes > 1000

查询 timestamp 字段在特定日期范围内的文档:

kql 复制代码
timestamp >= "2023-01-01" AND timestamp <= "2023-12-31"

通配符查询

KQL 支持使用通配符 *? 进行模糊匹配。

例如,查询以 error 开头的所有字段:

kql 复制代码
message: error*

查询包含 warn 的所有字段:

kql 复制代码
message: *warn*

正则表达式查询

KQL 支持使用正则表达式进行复杂的模式匹配。正则表达式需要用 / 包围。

例如,查询以 error 开头的所有消息:

kql 复制代码
message: /error.*/

嵌套查询

使用括号 () 创建嵌套查询,以控制布尔操作的优先级。

例如:

kql 复制代码
(status: 200 AND extension: "jpg") OR (status: 404 AND extension: "png")

存在查询

使用 _exists_ 关键字查询字段是否存在。

例如,查询 user 字段存在的文档:

kql 复制代码
_exists_: user

示例

查询状态为 200 且扩展名为 jpg 的文档:
kql 复制代码
status: 200 AND extension: "jpg"
查询状态为 200 或 404,且扩展名为 png 的文档:
kql 复制代码
(status: 200 OR status: 404) AND extension: "png"
查询字节数大于 1000 且时间戳在特定范围内的文档:
kql 复制代码
bytes > 1000 AND timestamp >= "2023-01-01" AND timestamp <= "2023-12-31"
查询消息字段包含 error 或 warn 的文档:
kql 复制代码
message: *error* OR message: *warn*

总结

Kibana Query Language (KQL) 是一种功能强大且易于使用的查询语言,适用于在 Kibana 中查询和过滤 Elasticsearch 数据。通过熟练掌握 KQL 的基本语法和操作,可以高效地在 Kibana 中进行数据分析和可视化。

相关推荐
阿里嘎多哈基米2 天前
ES——(三)DSL高级查询
elasticsearch·搜索引擎·全文检索·kibana·倒排索引
阿里嘎多哈基米2 天前
ES——(一)基本概念
elasticsearch·kibana·倒排索引·dsl·非结构化数据
咖啡Beans3 天前
SpringBoot集成ELK实现数据存储和日志管理
spring boot·elasticsearch·kibana
77qqqiqi9 天前
安装es和kibana
elasticsearch·kibana
core5121 个月前
elk快速部署、集成、调优
elk·springboot·kibana·索引·查询
LiberInfo2 个月前
MongoDB 副本集搭建与 Monstache 实时同步 Elasticsearch 全流程教程
数据库·mongodb·elasticsearch·搜索引擎·docker·kibana·monstache
G皮T2 个月前
【Elasticsearch】Elasticsearch 快照恢复 API 参数详解
大数据·elasticsearch·搜索引擎·全文检索·kibana·快照·快照恢复
Elastic 中国社区官方博客2 个月前
AI 驱动的仪表板:从愿景到 Kibana
大数据·数据库·人工智能·elasticsearch·搜索引擎·全文检索·kibana
发仔1232 个月前
生产环境使用ELK查看和分析Java报错日志详解
elasticsearch·kibana·logstash
G皮T2 个月前
【Elasticsearch】检索高亮
大数据·elasticsearch·搜索引擎·全文检索·kibana·检索·高亮