› › ›

Watcher 搜索输入

编辑

Watcher 搜索输入

编辑

使用 search 输入，在 watch 被触发时将 Elasticsearch 搜索请求的结果加载到执行上下文中。有关所有受支持的属性，请参阅搜索输入属性。

在 search 输入的 request 对象中，您需要指定：

要搜索的索引
搜索类型
搜索请求体

搜索请求体支持完整的 Elasticsearch 查询 DSL —— 它与 Elasticsearch _search 请求的正文相同。

例如，以下输入从 logs 索引检索所有 event 文档：

"input" : {
  "search" : {
    "request" : {
      "indices" : [ "logs" ],
      "body" : {
        "query" : { "match_all" : {}}
      }
    }
  }
}

在指定索引时，您可以使用日期数学和通配符。例如，以下输入加载今天每日报价索引中的最新 VIXZ 报价：

{
  "input" : {
    "search" : {
      "request" : {
        "indices" : [ "<stock-quotes-{now/d}>" ],
        "body" : {
          "size" : 1,
          "sort" : {
            "timestamp" : { "order" : "desc"}
          },
          "query" : {
            "term" : { "symbol" : "vix"}
          }
        }
      }
    }
  }
}

提取特定字段

编辑

您可以使用 extract 属性指定要从搜索响应中加载到 watch 有效负载中的字段。当搜索生成大型响应且您只对特定字段感兴趣时，这非常有用。

例如，以下输入仅将命中的总数加载到 watch 有效负载中：

"input": {
    "search": {
      "request": {
        "indices": [ ".watcher-history*" ]
      },
      "extract": [ "hits.total.value" ]
    }
  },

使用模板

编辑

search 输入支持搜索模板。例如，以下代码片段引用名为 my_template 的索引模板，并传递值 23 来填充模板的 value 参数：

{
  "input" : {
    "search" : {
      "request" : {
        "indices" : [ "logs" ],
        "template" : {
          "id" : "my_template",
          "params" : {
            "value" : 23
          }
        }
      }
    }
  }
  ...
}

应用条件

编辑

search 输入通常与 script 条件一起使用。例如，以下代码片段添加了一个条件来检查搜索是否返回了超过五个命中：

{
  "input" : {
    "search" : {
      "request" : {
        "indices" : [ "logs" ],
        "body" : {
          "query" : { "match_all" : {} }
        }
      }
    }
  },
  "condition" : {
    "compare" : { "ctx.payload.hits.total" : { "gt" : 5 }}
  }
  ...
}

访问搜索结果

编辑

条件、转换和操作可以通过 watch 执行上下文访问搜索结果。例如：

要将所有搜索命中加载到电子邮件正文中，请使用 ctx.payload.hits。
要引用命中的总数，请使用 ctx.payload.hits.total。
要访问特定命中，请使用其基于零的数组索引。例如，要获取第三个命中，请使用 ctx.payload.hits.hits.2。
要从特定命中获取字段值，请使用 ctx.payload.hits.hits.<index>.fields.<fieldname>。例如，要从第一个命中获取 message 字段，请使用 ctx.payload.hits.hits.0.fields.message。

搜索响应中的命中总数作为响应中的对象返回。它包含一个 value（命中数）和一个 relation，指示该值是准确的（"eq"）还是与查询匹配的命中总数的下限（"gte"）。您可以在搜索请求中将 track_total_hits 设置为 true，以指示 Elasticsearch 始终准确跟踪命中数。

搜索输入属性

编辑

名称	必需	默认值	描述
`request.search_type`	否	`query_then_fetch`	要执行的搜索类型。有效值为：`dfs_query_then_fetch` 和 `query_then_fetch`。Elasticsearch 默认值为 `query_then_fetch`。
`request.indices`	否	-	要搜索的索引。如果省略，则搜索所有索引，这是 Elasticsearch 中的默认行为。
`request.body`	否	-	请求正文。请求正文遵循您通常在 REST `_search` 请求正文中发送的相同结构。正文可以是静态文本或包含 `mustache` 模板。
`request.template`	否	-	搜索模板的正文。有关更多信息，请参阅配置模板。
`request.indices_options.expand_wildcards`	否	`open`	如何扩展通配符。有效值为：`all`、`open`、`closed` 和 `none`。有关更多信息，请参阅 `expand_wildcards`。
`request.indices_options.ignore_unavailable`	否	`true`	搜索是否应忽略不可用的索引。有关更多信息，请参阅 `ignore_unavailable`。
`request.indices_options.allow_no_indices`	否	`true`	是否允许在通配符索引表达式导致没有具体索引的情况下进行搜索。有关更多信息，请参阅 allow_no_indices。
`extract`	否	-	要从搜索响应中提取并作为有效负载加载的 JSON 密钥数组。当搜索生成大型响应时，您可以使用 `extract` 选择相关字段，而不是加载整个响应。
`timeout`	否	1m	等待搜索 api 调用返回的超时时间。如果在此时间内未返回任何响应，则搜索输入超时并失败。此设置将覆盖默认的搜索操作超时。

在指定请求 body 时，您可以引用执行上下文中的以下变量：

名称	描述
`ctx.watch_id`	当前正在执行的 watch 的 ID。
`ctx.execution_time`	此 watch 开始执行的时间。
`ctx.trigger.triggered_time`	此 watch 被触发的时刻。
`ctx.trigger.scheduled_time`	此 watch 应该被触发的时刻。
`ctx.metadata.*`	与 watch 关联的任何元数据。

« Watcher 简单输入 Watcher HTTP 输入 »