根据字段过滤

edit

可以对搜索结果进行过滤,只显示包含特定字段值的文档。也可以创建否定过滤器,排除包含特定字段值的文档。

从 Fields 表或 Documents 表中选择要添加的字段过滤器。除了可以创建积极字段和消极过滤器外,Documents 表还可以过滤某一字段是否存在。使用过的过滤器会在 Query 栏下方显示。消极过滤器用红色显示。

从 Fields 列表中添加一个过滤器:

  1. 点击想要过滤的字段名。这里显示了该领域最常用的五个字段值。

    filter field
  2. 添加积极过滤器,请点击 Positive Filter 按钮 Positive Filter。这会只显示包含该字段值的文档。
  3. 添加消极过滤器,请点击 Negative Filter 按钮 Negative Filter。这会排除包含该字段值的文档。

从 Documents 表中添加一个过滤器:

  1. 通过点击文档表条目左侧的 Expand 按钮 Expand Button 展开 Documents 表中的一个文档。

    Expanded Document
  2. 添加积极过滤器,请点击该字段名右侧的 Positive Filter 按钮 Positive Filter Button。这会只显示包含该字段值的文档。
  3. 添加消极过滤器,请点击该字段名右侧的 Negative Filter 按钮 Negative Filter Button。这会排除包含该字段值的文档。
  4. 过滤文档是否包含某一字段,请点击该字段名右侧的 Exists 按钮 Exists Button。这会只显示包含该字段的文档。

管理过滤器

edit

修改一个过滤器,请将鼠标置于该过滤器,然后点击某个操作按钮。

filter allbuttons

 

filter enable 启动过滤器
禁用过滤器不会删除过滤器。再次点击会重启过滤器。斜条纹表示过滤器被禁用。
filter pin 固定过滤器
当把上下文切换为 Kibana 时,被固定的过滤器仍然有效。例如,在 Discover 中固定一个过滤器,若切换至 Visualize,该过滤器仍然存在。请注意,过滤器是基于某个特定的索引字段——如果搜索的索引不包含固定过滤器中的字段,将不会生效。
filter toggle 切换筛选器
在积极过滤器和消极过滤器之间转换。
filter delete 移除过滤器
移除过滤器。
filter custom 编辑过滤器
编辑过滤器定义。可用于手动更新过滤查询和为过滤器指定标签。

对所有已应用的过滤器进行一次过滤,点击 Actions 并选择过滤指令。

编辑过滤器

edit

可以编辑一个过滤器对查询结果的过滤查询进行直接调整。这能够创建基于多个字段的更复杂的过滤器。

filter custom json

 

例如,可以使用 bool query 为示例日志数据创建一个过滤器,该日志数据显示的是加拿大或中国导致404错误的匹配记录。

{
  "bool": {
    "should": [
      {
        "term": {
          "geoip.country_name.raw": "Canada"
        }
      },
      {
        "term": {
          "geoip.country_name.raw": "China"
        }
      }
    ],
    "must": [
      {
        "term": {
          "response": "404"
        }
      }
    ]
  }
}