如何搜索没有特定字段的文档/记录？

Question

例如，这是我要做的查询：

server:"xxx.xxx.com" AND request_url:"/xxx/xxx/xxx" AND http_X_Forwarded_Proto:(https OR http)

现在，如果我想搜索所有没有http_X_Forwarded_Proto字段的文档/记录，该怎么办？我尝试过：

server:"xxx.xxx.com" AND request_url:"/xxx/xxx/xxx" AND http_X_Forwarded_Proto:"-"

它不起作用...

Answer 1

您需要在Kibana Discover搜索栏上使用-_exists_。

例如，要查看字段http_X_Forwarded_Proto不存在的文档，您需要使用：-_exists_:http_X_Forwarded_Proto

要查看该字段所在的文档，只需从搜索中删除-：_exists_:http_X_Forwarded_Proto

如果您使用的是Kibana的最新版本，还可以单击搜索栏下方的Add a filter，选择字段，然后选择exist或does not exist