ES|QL 限制

默认情况下，ES|QL 查询最多返回 1000 行。您可以使用 LIMIT 命令将行数增加到 10,000 行。无论 LIMIT 命令的值如何，查询都不会返回超过 10,000 行。

此限制仅适用于查询检索的行数。查询和聚合在完整的数据集上运行。

要克服此限制

可以使用以下动态集群设置更改默认和最大限制

ES|QL 当前支持以下字段类型

ES|QL 尚不支持以下字段类型

查询具有不支持类型的列会返回错误。如果查询中未显式使用具有不支持类型的列，则会返回 null 值，但嵌套字段除外。根本不返回嵌套字段。

某些字段类型并非在所有上下文中都受支持

此外，当查询多个索引时，同一字段可能会映射到多种类型。除非显式转换为单一类型，否则这些字段不能直接在查询中使用或在结果中返回。

ES|QL 不支持 _source 字段被禁用的配置。

[预览] 此功能为技术预览版，可能会在未来的版本中更改或删除。Elastic 将努力解决任何问题，但技术预览版中的功能不受官方 GA 功能的支持 SLA 的约束。 ES|QL 对合成 _source 的支持目前是实验性的。

[预览] 此功能为技术预览版，可能会在未来的版本中更改或删除。Elastic 将努力解决任何问题，但技术预览版中的功能不受官方 GA 功能的支持 SLA 的约束。 ES|QL 对全文搜索的支持目前处于技术预览阶段。全文搜索的一个限制是，必须在 FROM 源命令之后或足够接近它的 WHERE 命令中直接使用搜索函数，如 MATCH。否则，查询将失败并出现验证错误。另一个限制是，任何包含全文搜索函数的 WHERE 命令也不能使用析取（OR）。

由于ES|QL 处理 text 值的方式，对 text 字段的查询类似于对 keyword 字段的查询：它们区分大小写，并且需要匹配完整的字符串。

例如，在索引类型为 text 的字段，值为 Elasticsearch query language 后，以下 WHERE 子句不匹配，因为 LIKE 运算符区分大小写

| WHERE field LIKE "elasticsearch query language"

以下 WHERE 子句也不匹配，因为 LIKE 运算符尝试匹配整个字符串

| WHERE field LIKE "Elasticsearch"

作为一种解决方法，请使用通配符和正则表达式。例如

| WHERE field RLIKE "[Ee]lasticsearch.*"

虽然 ES|QL 支持 text 字段，但 ES|QL 处理这些字段的方式与 Search API 不同。ES|QL 查询不会查询或聚合分析的字符串。相反，ES|QL 查询将尝试获取 keyword 系列类型的 text 字段的子字段并进行查询/聚合。如果无法检索 keyword 子字段，ES|QL 将从文档的 _source 获取字符串。如果无法检索 _source，例如在使用合成源时，则会返回 null。

请注意，ES|QL 对 keyword 子字段的检索可能会产生意想不到的后果。对 text 字段的 ES|QL 查询是区分大小写的。此外，子字段可能已使用normalizer进行了映射，这可以转换原始字符串。或者它可能已使用 ignore_above进行了映射，这可以截断字符串。这些映射操作均未应用于 ES|QL 查询，这可能会导致误报或漏报。

为了避免这些问题，最佳做法是明确指定要查询的字段，并查询 keyword 子字段而不是 text 字段。

ES|QL 不支持查询时间序列数据流 (TSDS)。

当最左边的表达式是日期时间时，日期数学表达式效果很好，例如

now() + 1 year - 2hour + ...

但并非总是支持使用括号或将日期时间放在右边。例如，以下表达式失败

1year + 2hour + now()
now() + (1year + 2hour)

日期数学不允许减去两个日期时间，例如

now() - 2023-10-26

虽然支持所有三种富化策略类型，但需要注意一些限制

DISSECT 命令不支持引用键。

GROK 命令不支持配置自定义模式或多个模式。GROK 命令不受Grok 监视程序设置的约束。

ES|QL 支持多值字段，但除非另有说明，否则当函数应用于多值字段时会返回 null。为了解决此限制，请使用多值函数之一将字段转换为单值。

ES|QL 仅支持 UTC 时区。