Lucene 语法使用方法¶
Lucene 简介¶
Lucene 是 Apache 软件基金会 4 jakarta 项目组的一个子项目,是一个开放源代码的全文检索引擎工具包。 Lucene 的目的是为软件开发人员提供一个简单易用的工具包,以方便的在目标系统中实现全文检索的功能。
Lucene 语法¶
Lucene 的语法搜索格式允许您以灵活的方式构建搜索查询,以满足不同的搜索需求。以下是 Lucene 的语法搜索格式的详细说明:
关键字查询¶
要通过 Lucene 语法实现多个关键字的查询,您可以使用布尔逻辑操作符来组合多个关键字。Lucene 支持以下几种操作符:
-
AND 操作符
- 使用 AND 或 && 来表示逻辑与关系。
- 例如: term1 AND term2 或 term1 && term2
-
OR 操作符
- 使用 OR 或 || 来表示逻辑或关系。
- 例如: term1 OR term2 或 term1 || term2
-
NOT 操作符
- 使用 NOT 或 `` 来表示逻辑非关系。
- 例如: term1 NOT term2 或 term1 -term2
-
引号
- 您可以将一个短语括在引号中以进行精确匹配。
- 例如: "exact phrase"
举例¶
-
指定字段
解释如下:
- 查询字段 field1 必须包含关键字 keyword1 。
- 同时,字段 field2 必须包含关键字 keyword2 或字段 field3 必须包含关键字 keyword3 。
- 最后,字段 field4 不得包含关键字 keyword4 。
-
不指定字段
解释如下:
- 查询关键字 keyword1 必须存在于任意可搜索的字段中。
- 同时,关键字 keyword2 必须存在或关键字 keyword3 必须存在于任意可搜索的字段中。
- 最后,关键字 keyword4 不得存在于任意可搜索的字段中。
模糊查询¶
在 Lucene 中,模糊查询可以通过波浪号 ~ 来实现近似匹配。您可以指定一个编辑距离来限制匹配的相似度程度。
在上述示例中, term 是要进行模糊匹配的关键字。
请注意以下几点:
- 波浪号 ~ 后面可以指定一个可选的参数,用于控制模糊查询的相似度。
- 参数值范围为 0 到 2 之间,其中 0 表示完全匹配,1 表示一次编辑操作(如增加、删除或替换字符)内可以匹配,2 表示两次编辑操作内可以匹配。
- 如果不指定参数值,默认使用 0.5 作为相似度阈值。
- 模糊查询将返回与给定关键字相似的文档,但会有一定的性能开销,特别是对于较大的索引。
通配符¶
Lucene 支持以下两种通配符查询:
-
*
通配符:*
用于匹配零个或多个字符。例如, te*t 可以匹配 "test"、"text"、"tempest" 等。
-
?
通配符:?
用于匹配单个字符。例如, te?t 可以匹配 "test"、"text" 等。
举例说明¶
在上述示例中, te?t 表示匹配以 "te" 开头,接着是一个任意字符,然后以 "t" 结尾的词。这种查询可以匹配例如 "test"、"text"、"tent" 等。
需要注意的是,问号只能代表一个字符,如果想要匹配多个字符或者是可变长度的字符,可以使用星号 *
进行多字符通配符匹配。 另外,问号不会匹配空字符串。
总结一下,Lucene 语法中的问号 ?
用作单字符通配符,表示匹配任意一个字符。通过在搜索关键字中使用问号,您可以进行更灵活和具体的模式匹配。
范围查询¶
Lucene 语法支持范围查询,您可以使用方括号 [ ] 或花括号 { } 来表示范围。以下是范围查询的示例:
-
包含边界的范围查询:
- 方括号 [ ] 表示闭区间,包含边界值。
- 例如: field:[value1 TO value2] 表示 field 的取值范围从 value1 到 value2 (包含两者)。
-
排除边界的范围查询:
- 花括号 { } 表示开区间,排除边界值。
- 例如: field:{value1 TO value2} 表示 field 的取值范围在 value1 和 value2 之间(不包含两者)。
-
省略边界的范围查询:
- 可以省略一个或两个边界值来指定无限范围。
- 例如: field:[value TO ] 表示 field 的取值范围从 value 到正无穷, field:[ TO value] 表示 field 的取值范围从负无穷到 value 。
Note
请注意,范围查询只适用于能够进行排序的字段类型,如数字、日期等。同时,确保在查询时将边界值正确地指定为字段的实际值类型。 如果您希望在整个索引中进行范围查询而不指定特定字段,可以使用通配符查询
*
来代替字段名。
举例说明¶
-
指定字段
这将检索 timestamp 字段在 2022 年 1 月 1 日到 2022 年 1 月 31 日之间的数据。
-
不指定字段
这将在整个索引中搜索取值范围从 value1 到 value2 的文档。
Insight 常用关键字¶
容器日志¶
- kubernetes.container_image: 容器镜像名称
- kubernetes.container_name: 容器名称
- kubernetes.namespace_name: 命名空间名称
- kubernetes.pod_name: Pod 名称
- log: 日志内容
- time: 日志时间戳
主机日志¶
- syslog.file: 日志文件路径
- syslog.host: 主机名称
- log: 日志内容
如果你想要精确匹配某个特定的值,可以在关键字后加入 .keyword
后缀,例如 kubernetes.container_name.keyword
。
示例¶
-
查询指定 Pod 中指定容器的日志
2. 查询 Pod 名称中包含nginx-pod
的容器日志