查询elasticsearch发现没有钥匙

Question

我有这样的日志文件：

{ 
    "a":"XXX", 
    "b":"YYY", 
    "token":"acquired" 
} 

另外，我还没有这个token按键日志。 Kibana的术语面板告诉他们，他们通过将它们显示为Missing fields(3047)。我如何查询所有没有token密钥集的文档？

Answer 1

可以在ES查询失踪领域：

来源：http://www.elasticsearch.org/guide/en/elasticsearch/guide/current/_dealing_with_null_values.html

GET /my_index/posts/_search 
{ 
    "query" : { 
     "filtered" : { 
      "filter": { 
       "missing" : { "field" : "token" } 
      } 
     } 
    } 
}