关注`CodingTechWork`

背景介绍

Elasticsearch 是一款基于 Lucene 的搜索和数据分析引擎，广泛应用于日志分析、全文检索等领域。在使用 Elasticsearch 时，字段是存储在索引中的数据单位，字段的定义决定了数据的存储方式及其检索效率。因此，合理地管理和操作 Elasticsearch 索引的字段至关重要。
有时，我们可能需要为现有的索引或模板添加新字段。例如，假设我们已经有了一个名为 demo_log 的索引，里面有两个字段 method 和 url，现在我们希望新增一个 result 字段。这种场景在实际开发中非常常见，本文将详细介绍如何在 Elasticsearch 中实现这一操作。

Elasticsearch 索引与模板

在 Elasticsearch 中，索引（Index） 是数据的集合，而 模板（Template） 用于定义索引的映射（mapping）和设置。映射决定了字段的类型（如 text、keyword、integer 等）以及如何存储这些字段。模板则是为多个索引提供统一的设置和映射定义，尤其是对于动态生成的索引。

索引的字段管理

字段类型：每个字段在索引中都有一个数据类型，这决定了字段的存储格式以及如何进行检索和查询。
动态映射：Elasticsearch 支持动态映射机制，即当新字段首次出现在文档中时，Elasticsearch 会根据其数据类型自动创建映射。但也可以通过模板控制字段的动态行为，避免不希望出现的字段。

模板的作用

模板应用范围：模板主要用于定义和控制索引的设置和字段映射。当创建新索引时，模板会根据索引的名称或模式（index_patterns）自动应用。
映射控制：模板可以指定索引中字段的映射规则，避免手动设置每个字段的类型，简化了操作。

如何为模板和索引增加字段

为模板添加新字段

我们首先需要了解如何为现有的模板新增字段。假设我们已经有一个模板 temp_demo_log，我们想在模板中添加一个新的字段 result，该字段类型为 keyword。

步骤

查看现有模板（可选）：
如果您想查看当前模板的设置，可以执行以下命令：
```
GET _template/temp_demo_log
```

更新模板：
使用 PUT 请求更新模板，将新的字段添加到模板的 mappings 部分。示例如下：

PUT _template/temp_demo_log
{"order": 0,"index_patterns": ["demo_log*"],  // 匹配所有以 demo_log 开头的索引"settings": {"index": {"refresh_interval": "60s","number_of_shards": "40","translog": {"flush_threshold_size": "1024mb","sync_interval": "60s","durability": "async"},"number_of_replicas": "1"}},"mappings": {"dynamic": "strict",  // 启用严格模式，未定义的字段将被拒绝"properties": {"method": { "type": "keyword" },  // 已有字段 method"url": { "type": "keyword" },     // 已有字段 url"result": { "type": "keyword" }   // 新增字段 result}},"aliases": {}
}

说明

index_patterns：定义了模板应用的范围。在此示例中，模板应用于所有以 demo_log 开头的索引。
mappings：在映射部分新增了 result 字段，其数据类型为 keyword，这种类型适合存储不需要分析的字符串数据（如 ID、状态码等）。
dynamic：设置为 strict，意味着 Elasticsearch 只允许索引中包含已定义的字段，其他字段会被拒绝。

向已存在的索引添加新字段

对于已经存在的索引（如 demo_log），我们无法直接修改现有字段的类型或删除字段，但可以通过 _mapping API 添加新的字段。下面是如何给已存在的索引添加 result 字段的步骤。

步骤

使用 _mapping API 添加字段：

POST demo_log/_mapping
{"properties": {"result": {"type": "keyword"}}
}

说明

_mapping：该 API 用于更新已有索引的字段映射。
properties：在此部分，我们为索引添加了 result 字段，其类型为 keyword。

注意事项

如果索引已经存在数据，新的字段将应用于后续的文档，而不会影响已经存在的文档。
Elasticsearch 允许通过 _mapping 增加新字段，但一旦字段类型被定义，就不能改变字段的类型。例如，如果您最初为字段 result 定义了 text 类型，就不能直接更改为 keyword 类型。