ES|QL 限制

结果集大小限制编辑

默认情况下，ES|QL 查询最多返回 1000 行。您可以使用 LIMIT 命令将行数增加到 10,000 行。无论 LIMIT 命令的值如何，查询都不会返回超过 10,000 行。

此限制仅适用于查询检索的行数。查询和聚合在完整数据集上运行。

要克服此限制

可以使用以下动态集群设置更改默认限制和最大限制

字段类型编辑

支持的类型编辑

ES|QL 目前支持以下 字段类型

不支持的类型编辑

ES|QL 尚未支持以下字段类型

查询具有不支持类型的列将返回错误。如果查询中没有显式使用具有不支持类型的列，则它将返回 null 值，嵌套字段除外。嵌套字段根本不会返回。

对支持类型的限制编辑

某些 字段类型 在所有上下文中都不受支持

_source 可用性编辑

ES|QL 不支持 _source 字段 被 禁用 的配置。

[预览] 此功能处于技术预览阶段，可能会在将来的版本中更改或删除。Elastic 将努力解决任何问题，但技术预览中的功能不受官方 GA 功能的支持 SLA 的约束。 ES|QL 对 合成 _source 的支持目前处于实验阶段。

不支持全文搜索编辑

由于 ES|QL 处理 text 值的方式，全文搜索尚不支持。对 text 字段的查询类似于对 keyword 字段的查询：它们区分大小写，并且需要匹配整个字符串。

例如，在将类型为 text 的字段索引为 Elasticsearch query language 之后，以下 WHERE 子句不匹配，因为 LIKE 运算符区分大小写

| WHERE field LIKE "elasticsearch query language"

以下 WHERE 子句也不匹配，因为 LIKE 运算符尝试匹配整个字符串

| WHERE field LIKE "Elasticsearch"

作为解决方法，请使用通配符和正则表达式。例如

| WHERE field RLIKE "[Ee]lasticsearch.*"

text 字段的行为类似于 keyword 字段编辑

虽然 ES|QL 支持 text 字段，但 ES|QL 不会像搜索 API 那样处理这些字段。ES|QL 查询不会查询或聚合 已分析的字符串。相反，ES|QL 查询将尝试获取 text 字段的 关键字系列类型 的子字段并查询/聚合该子字段。如果无法检索 keyword 子字段，ES|QL 将从文档的 _source 中获取字符串。如果无法检索 _source（例如，在使用合成源时），则返回 null。

请注意，ES|QL 检索 keyword 子字段可能会产生意外后果。对 text 字段的 ES|QL 查询区分大小写。此外，子字段可能已使用 规范化器 进行映射，这会转换原始字符串。或者它可能已使用 ignore_above 进行映射，这会截断字符串。ES|QL 查询不会应用这些映射操作中的任何一个，这可能会导致误报或漏报。

为了避免这些问题，最佳做法是明确您查询的字段，并查询 keyword 子字段而不是 text 字段。

不支持时间序列数据流编辑

ES|QL 不支持查询时间序列数据流 (TSDS)。

日期数学限制编辑

当最左侧的表达式为日期时间时，日期数学表达式运行良好，例如

now() + 1 year - 2hour + ...

但是，使用括号或将日期时间放在右侧并不总是受支持。例如，以下表达式失败

1year + 2hour + now()
now() + (1year + 2hour)

日期数学不允许减去两个日期时间，例如

now() - 2023-10-26

丰富限制编辑

ES|QL ENRICH 命令仅支持类型为 match 的丰富策略。此外，ENRICH 仅支持在类型为 keyword 的列上进行丰富。

分解限制编辑

DISSECT 命令不支持引用键。

Grok 限制编辑

GROK 命令不支持配置 自定义模式 或 多个模式。GROK 命令不受 Grok 看门狗设置 的约束。

多值限制编辑

ES|QL 支持多值字段，但函数在应用于多值字段时返回 null，除非另有说明。通过使用 多值函数 之一将字段转换为单值来解决此限制。

时区支持编辑

ES|QL 仅支持 UTC 时区。

Kibana 限制编辑