求求你不要再用命令看日志了？这个图形界面工具不香？( 二 ) 作者：废物大师兄Kibana是一个

safari
" ，这样你就可以搜索到所有有关"safari"的字段
为了搜索一个特定字段的特定值，可以用字段的名称作为前缀。例如，你输入"
status:200
" ，将会找到所有status字段的值是200的文档
为了搜索一个范围值，你可以用括号范围语法，
[START_VALUETOEND_VALUE]
。例如，为了找到状态码是4xx的文档，你可以输入
status:[400TO499]
为了指定更改复杂的查询条件，你可以用布尔操作符
AND
OR
,和
NOT
。例如，为了找到状态码是4xx并且extension字段是php或者html的文档，你可以输入
status:[400TO499]AND(extension:phpORextension:html)
imgimgimg
5.2.2.Kibana查询语法增强
新的更简单的语法
如果你熟悉Kibana的旧Lucene查询语法，那么你应该对这种新的语法也不会陌生。基本原理保持不变，我们只是简单地改进了一些东西，使查询语言更易于使用。
response:200将匹配response字段的值是200的文档
用引号引起来的一段字符串叫短语搜索。例如， message:"Quickbrownfox"将在message字段中搜索"quickbrownfox"这个短语。如果没有引号，将会匹配到包含这些词的所有文档，而不管它们的顺序如何。这就意味着，会匹配到"Quickbrownfox" ，而不会匹配"quickfoxbrown" 。（画外音：引号引起来作为一个整体）
查询解析器将不再基于空格进行分割。多个搜索项必须由明确的布尔运算符分隔。注意，布尔运算符不区分大小写。
在Lucene中， response:200extension:php等价于response:200andextension:php 。这将匹配response字段值匹配200并且extenion字段值匹配php的文档。
如果我们把中间换成or ，那么response:200orextension:php将匹配response字段匹配200或者extension字段匹配php的文档。
默认情况下， and比or具有更高优先级。
response:200andextension:phporextension:css将匹配response是200并且extension是php ，或者匹配extension是css而response任意
括号可以改变这种优先级
response:200and(extension:phporextension:css)将匹配response是200并且extension是php或者css的文档
还有一种简写的方式：
response:(200or404)将匹配response字段是200或404的文档。字符值也可以是多个，比如：tags:(successandinfoandsecurity)
还可以用not
notresponse:200将匹配response不是200的文档
response:200andnot(extension:phporextension:css)将匹配response是200并且extension不是php也不是css的文档
范围检索和Lucene有一点点不同
代替byte:>1000 ，我们用byte>1000
>,>=,
response:*将匹配所有存在response字段的文档
通配符查询也是可以的。 machine.os:win*将匹配machine.os字段以win开头的文档，像"windows7"和"windows10"这样的值都会被匹配到。
通配符也允许我们一次搜索多个字段，例如，假设我们有machine.os和machine.os.keyword两个字段，我们想要搜索这两个字段都有"windows10" ，那么我们可以这样写"machine.os*:windows10"
5.2.3.刷新搜索结果
5.3.按字段过滤
以上是控制列表显示哪些字段，还有一种方式是在查看文档数据的时候点那个像书一样的小图标

文章图片
删除也是可以的
我们还可以编辑一个DSL查询语句，用于过滤筛选，例如

文章图片
5.4.查看文档数据
5.5.查看文档上下文
imgimg
5.6.查看字段数据统计
Visualize使得你可以创建在你的Elasticsearch索引中的数据的可视化效果。然后，你可以构建dashboard来展示相关可视化。
Kibana可视化是基于Elasticsearch查询的。通过用一系列的Elasticsearch聚集来提取并处理你的数据，你可以创建图片来线上你需要了解的趋势、峰值和低点。
6.1.创建一个可视化
为了创建一个可视化的视图：
第1步：点击左侧导航条中的“
Visualize
”按钮
第2步：点击“Createnewvisualization”按钮或者**加号(+)**按钮
第3步：选择一个可视化类型
第4步：指定一个搜索查询来检索可视化数据
第5步：在可视化的构建器中选择Y轴的聚合操作。例如， sum ， average ， count等等
第6步：设置X轴
例如：

文章图片

文章图片

文章图片