Elastic Stack 中两种主要查询语言 KQL (Kibana Query Language) 和 Lucene 的详细对比和解释。

Elastic Stack 中两种主要查询语言 KQL (Kibana Query Language) 和 Lucene 的详细对比和解释。

它们是 Elasticsearch 查询的"两种面孔"，各自有擅长的领域和使用场景。

特性	KQL (Kibana Query Language)	Lucene (Lucene Query Syntax)
定位	交互式、用户友好的查询语言，专为 Kibana 设计。	底层、强大、灵活的查询语言，是 Elasticsearch 查询的基础。
设计目标	让分析师、运维人员等非开发者能快速、直观地查询数据。	提供一套完备、精确的语法来描述复杂的搜索逻辑。
语法风格	自然、简洁、类似口语。大量使用自动补全和语法高亮。	结构严谨，使用特定的操作符和括号来构造逻辑。
核心优势	易学易用，查询构建速度快，在 Kibana 中体验极佳。	功能全面，可执行所有类型的查询，包括 KQL 不支持的复杂查询。
典型用户	Kibana 用户、数据分析师、SRE/运维工程师。	开发者、高级用户、需要在 API 调用中执行复杂查询的人。

假设我们有一个日志索引，包含以下字段：message， response_code， host.ip， timestamp。

KQL : failed login
- 自动在 message等文本字段中搜索同时包含 "failed" 和 "login" 的文档（相当于 AND 逻辑）。
Lucene : failed login
- 在默认字段中搜索包含任一 "failed" 或 "login" 的文档（相当于 OR 逻辑）。要达到 KQL 效果，需用 +failed +login。

KQL:
- response_code: 200 AND host.ip: "10.0.0.1"
- response_code: (404 OR 500)
- NOT response_code: 200
- 使用大写关键词，更接近自然语言。
Lucene:
- response_code:200 AND host.ip:10.0.0.1
- response_code:(404 OR 500)或 response_code:(404 500)（空格默认是 OR）
- -response_code:200或 NOT response_code:200
- 使用 AND, OR, NOT关键词，或用符号 +(必须包含), -(必须不包含)。

KQL : response_code > 400或 timestamp >= "2024-01-15"
Lucene : response_code:{400 TO *}或 timestamp:["2024-01-15" TO *]
- 使用花括号 {}表示不包含边界，方括号 []表示包含边界。*表示无穷。

KQL:
- 通配符：host.name: web-*
- 模糊搜索：message: "connection timeout"~2（允许两个词的位置变化）
Lucene:
- 通配符：相同，host.name:web-*
- 模糊搜索：相同，message:"connection timeout"~2
- 正则表达式 ：host.ip: /10\.0\.\d+\.\d+/(KQL 不支持正则表达式)

执行 KQL 不支持的查询：
- 正则表达式查询。
- 更复杂的模糊搜索、邻近度查询。
- 使用 script查询的复杂场景。
在 Kibana 之外工作：
- 在 Elasticsearch REST API (_search) 中直接调用。
- 在 Logstash 过滤器、Beats 配置或任何应用程序代码中。
需要更精确的逻辑控制 ：Lucene 的符号操作符 (+, -) 有时能写出更简洁的复杂逻辑。

KQL 构建于 Lucene 之上：在 Kibana 中输入的 KQL 查询，最终会被 Kibana 转换成等效的 Elasticsearch 查询 DSL（其中可能包含 Lucene 查询语法或更复杂的 Query DSL）。
索引模式 ：KQL 通常针对一个选定的索引模式运行，而原始的 Lucene 查询在 API 中需要明确指定索引。
字段处理 ：KQL 能智能处理多字段（如 text和 keyword），通常会自动使用合适子字段。Lucene 查询需要你明确指定字段，例如 hostname.keyword: "myHost"来做精确匹配。
默认操作符：
- KQL 的默认空格是 AND 。error timeout意味着必须同时包含这两个词。
- Lucene 的默认空格是 OR 。error timeout意味着包含任意一个词。

可以把它们看作不同级别的工具：

对于绝大多数在 Kibana 中进行的数据探索和监控工作，KQL 是首选且推荐的方式。只有当你碰到 KQL 的能力边界时，才需要切换到 Lucene 语法。