查询语法介绍和相关示例_日志服务(SLS)-阿里云帮助中心

日志服务提供一套查询语法，指定日志查询时的过滤规则，从而筛选日志中满足条件的记录，筛选结果可以用于分析语句，进行更复杂的分析处理。

查询语法

语句编写流程

查询语句的编写流程为：根据您想要查询的信息，确定查询方式进而确定查询语法，然后根据字段类型选择合适的运算符，并设置关键词及匹配模式。

如何确定查询方式

了解当前日志库配置的索引类型，日志库支持配置全文索引、字段索引、同时配置全文索引和字段索引。更多关于配置索引的建议请参见：创建索引。

日志库只配置了全文索引，则只能使用全文查询语法进行查询。
日志库配置了字段索引
1. doule、long类型：只能根据字段查询语法进行查询。
2. text类型：如您知晓关键词属于某个字段且对应的字段已经配置字段索引，则建议使用字段查询语法，否则需要使用全文查询语法。当使用全文查询语法且未开启全文索引时，您输入的关键词只能从字段索引是text类型的字段中查询；如果开启了全文索引时，您输入的关键词会从所有text类型索引中查询。

字段类型	介绍	可用运算符
text类型	字符串类型的字段。开启全文索引后，日志服务默认将整条日志（除 `__time__` 以外所有字段）设置为 text类型。	`and` 、 `or` 、 `not` 、 `()` 、 `:` 、 `""` 、 `\` 、 `*` 、 `?` 。
long或double类型	只有设置字段的数据类型为long或double后，才能通过数值范围查询该字段的值。如果字段的数据类型不被设置为double、long或者查询时数值范围的语法错误，那么日志服务会按照全文查询方式进行查询，这样查询到的结果可能与您期望的结果不同。例如字段 `owner_id` 不是double、long类型，则执行查询语句 `owner_id>100` 时，会返回同时包含 `owner_id` 、 `>` （非分词符）、 `100` 这三个词的日志。如果将字段的类型从text类型改成double、long类型，则只支持等号（=）查询。如果需要使用范围查询、大于号（>）、小于号（<）等运算符，必须重建索引。	`and` 、 `or` 、 `not` 、 `()` 、 `>` 、 `>=` 、 `<` 、 `<=` 、 `=` 、 `in` 。
JSON类型	针对JSON对象中的字段，您可根据其值，将数据类型设置为long、double或text，并开启统计功能。	根据JSON对象中的字段的类型使用不同的运算符。

运算符	说明
:	用于字段查询（Key:Value），例如 `request_method:GET` 。如果字段名称或者字段值内有空格、冒号（:）、连字符（-）等特殊字符，请使用双引号（""）包裹字段名称或者字段值，例如 `"file info":apsara` 。
and	and运算符。例如 `request_method:GET and status:200` 。如果多个关键词之间没有语法关键词，默认为and关系，例如 `GET 200 cn-shanghai` 等同于 `GET and 200 and cn-shanghai` 。
or	or运算符。例如 `request_method:GET or status:200` 。
not	not运算符。例如 `request_method:GET not status:200` 、 `not status:200` 。
( )	用于提高括号内查询条件的优先级。例如 `(request_method:GET or request_method:POST) and status:200` 。
""	使用双引号（""）包裹一个语法关键词，可以将该语法关键词转换成普通字符。例如 `"and"` 表示查询包含and的日志，此处的and不代表运算符。在字段查询中双引号（""）内的所有词被当成一个整体。
\	转义符号，用于转义双引号（""），转义后的引号表示符号本身。例如日志内容为 `instance_id:nginx"01"` ，您可以使用 `instance_id:nginx\"01\"` 进行查询。
*	通配符查询，匹配零个、单个、多个字符。例如 `host:aliyund*c` 。
?	通配符查询，匹配单个字符。例如 `host:aliyund?c` 。
>	查询某字段值大于某数值的日志。例如 `request_time>100` 。
>=	查询某字段值大于或等于某数值的日志。例如 `request_time>=100` 。
<	查询某字段值小于某数值的日志。例如 `request_time<100` 。
<=	查询某字段值小于或等于某数值的日志。例如 `request_time<=100` 。
=	查询某字段值等于某数值的日志。针对double、long类型的字段，等号（=）和冒号（:）作用相同。例如 `request_time=100` 等同于 `request_time:100` 。
in	查询某字段值处于某数值范围内的日志，中括号表示闭区间，小括号表示开区间，两个数字之间使用空格分隔。例如 `request_time in [100 200]` 或 `request_time in (100 200]` 。
__source__	查询某个日志源的日志，支持通配符。例如 `__source__:192.0.2.*` 。
__tag__	通过元数据信息查询日志。例如 `__tag__:__receive_time__:1609837139` 。
__topic__	查询某日志主题下的日志。例如 `__topic__:nginx_access_log` 。

查询方式

说明

示例

精确查询

使用完整的词进行查询。

日志服务查询采用的是分词法，精确查询时并不能完全匹配关键词。例如查询语句为 abc def ，查询结果将包含所有 abc 和 def 的日志，无法完全匹配目标短语。如果您要完全匹配短语 abc def ，可以使用短语查询或者Like语法。更多信息，请参见短语查询、如何精准查询日志。

host:example.com 表示查询 host 字段值包含 example.com 的日志。
PUT and cn-shanghai 表示查询同时包含关键字 PUT 和 cn-shanghai 的日志。
* | Select * where http_user_agent like '%like Gecko%' 表示查询 http_user_agent 字段值中包含短语 like Gecko 的日志。
#"redo_index/1" 表示查询包含短语 redo_index/1 的日志。

模糊查询

在查询语句中指定一个64个字符以内的词，在词的中间或者末尾加上模糊查询关键字，即星号（*）或问号（?），日志服务会在所有日志中为您查询到符合条件的100个词，返回包含这100个词并满足查询条件的所有日志。指定的词越精确，查询结果越精确。

request_time>60 and request_method:Ge* 表示查询 request_time 字段值大于 60 且 request_method 字段值以 Ge 开头的日志。
addr* 表示在所有日志中查找以 addr 开头的100个词，并返回包含这些词的日志。
host:www.yl* 表示在所有日志中查找 host 字段值以 www.yl 开头的100个词，并返回包含这些词的日志。

更多信息，请参见如何模糊查询日志？。

查询需求	查询语句	调试
查询GET请求成功（状态码为200~299）的日志。	`request_method:GET and status in [200 299]`	调试
查询来自非杭州地域的GET请求的日志。	`request_method:GET not region:cn-hangzhou`	无
查询GET请求或POST请求的日志。	`request_method:GET or request_method:POST`	调试
查询非GET请求的日志。	`not request_method:GET`	调试
查询GET请求或POST请求成功的日志。	`(request_method:GET or request_method:POST) and status in [200 299]`	调试
查询GET请求或POST请求失败的日志。	`(request_method:GET or request_method:POST) not status in [200 299]`	调试
查询GET请求成功（状态码为200~299）且请求时间小于60秒的日志。	`request_method:GET and status in [200 299] not request_time>=60`	调试
查询请求时间为60秒的日志。	`request_time:60`	调试
查询请求时间为60秒的日志。	`request_time=60`	调试
查询请求时间大于等于60秒，并且小于200秒的日志。	`request_time>=60 and request_time<200`	调试
查询请求时间大于等于60秒，并且小于200秒的日志。	`request_time in [60 200)`	调试
查询 request_time 字段值为空或非法数字的日志。	`request_time:* not request_time > -10000000000`	调试
查询包含 request_time 字段且字段值为数字的日志。	`request_time > -1000000000`	调试
查询包含 and 的日志。	`"and"`	调试
查询 request method 字段值中包含 PUT 的日志。	`"request method":PUT`	无
查询日志主题为HTTPS或HTTP的日志。	`__topic__:HTTPS or __topic__:HTTP`	无
查询采集于 192.0.2.1 主机的日志。	`__tag__:__client_ip__:192.0.2.1` 此处的 `__tag__:__client_ip__` 为日志服务保留字段，表示日志所在主机的IP地址。更多信息，请参见保留字段。	无
查询包含 `192.168.XX.XX` 的日志。	`* \| select * from log where key like '192.168.%.%'` 更多信息，请参见通过SQL的like语法进行精确的模糊查询。	无
查询 remote_user 字段值不为空的日志。	`not remote_user:""`	调试
查询 remote_user 字段值为空的日志。	`remote_user:""`	调试
查询 remote_user 字段值不为 null 的日志。	`not remote_user:"null"`	调试
查询不存在 remote_user 字段的日志。	`not remote_user:*`	调试
查询存在 remote_user 字段的日志。	`remote_user:*`	调试
查询城市字段值不为上海的日志。	`not 城市:上海`	无

查询需求	查询语句	调试
查询包含以 cn 开头的词的日志。	`cn*`	调试
查询 region 字段值是以 cn 开头的日志。	`region:cn*`	无
查询 region 字段值包含 cn* 的日志。	`region:"cn*"`	无
查询包含以mozi开头，以la结尾，中间还有一个字符的词的日志。	`mozi?la`	调试
查询包含以mo开头，以la结尾，中间包含零个、单个或多个字符的词的日志。	`mo*la`	调试
查询包含以moz开头的词和以sa开头的词的日志。	`moz* and sa*`	调试
查询 region 字段值以hai结尾的所有日志。	目前使用查询语句无法查询到对应的日志，您可以使用SQL分析中的Like语法进行查询。更多信息，请参见通过SQL的like语法进行精确的模糊查询。 `* \| select * from log where region like '%hai'`	无

查询需求	查询语句	试用
查询 http_user_agent 字段值中包含 Chrome 的日志。	`http_user_agent:Chrome`	调试
查询 http_user_agent 字段值中包含 Linux 和 Chrome 的日志。	`http_user_agent:Linux and http_user_agent:Chrome`	调试
查询 http_user_agent 字段值中包含 Linux 和 Chrome 的日志。	`http_user_agent:"Linux Chrome"`	调试
查询 http_user_agent 字段值中包含 Firefox 或 Chrome 的日志。	`http_user_agent:Firefox or http_user_agent:Chrome`	调试
查询 request_uri 字段值包含 /request/path-2 的日志。	`request_uri:/request/path-2`	调试
查询 request_uri 字段值以 /request 开头，但不包含 /file-0 的日志。	`request_uri:/request* not request_uri:/file-0`	调试
完全匹配包含短语 `redo_index/1` 的日志。	`#"redo_index/1"` `* \| select * from log where key like 'redo_index/1'`	无

查询语法

语句编写流程

如何确定查询方式

全文查询语法

字段查询语法

字段类型

运算符

查询模式

查询语句示例

日志样例

索引配置

普通查询示例

进阶查询示例

相关文档