rest - 如何在REST API中对两个变量求和

Question

我想对REST API中的两个变量求和，并按其排序。
这是我的REST API:

"aggs": {
"genres": {
  "terms": {
    "field": "L7_PROTO_NAME.keyword",
    "order": {
      "sum_bytes": "desc"
    }
  },
  "aggs": {
    "in_bytes": {
      "sum": {
        "field": "IN_BYTES"
      }
    },
    "out_bytes": {
      "sum": {
        "field": "OUT_BYTES"
      }
    }
   }

先感谢您!

Answer 1

您需要创建另一个将两个字段相加的子聚合，然后通过该子聚合对terms聚合进行排序:

{
  "query": {
    "bool": {
      "should": [
        {
          "term": {
            "_index": "logstash-2018.01.02"
          }
        },
        {
          "term": {
            "IPV4_DST_ADDR": "192.168.0.159"
          }
        },
        {
          "term": {
            "IPV4_SRC_ADDR": "192.168.0.159"
          }
        }
      ]
    }
  },
  "aggs": {
    "genres": {
      "terms": {
        "field": "L7_PROTO_NAME.keyword",
        "order": {
          "sum_bytes": "desc"
        }
      },
      "aggs": {
        "in_bytes": {
          "sum": {
            "field": "IN_BYTES"
          }
        },
        "out_bytes": {
          "sum": {
            "field": "OUT_BYTES"
          }
        },
        "sum_bytes": {
          "sum": {
            "script": {
              "source": "doc.IN_BYTES.value + doc.OUT_BYTES.value"
            }
          }
        }
      }
    }
  }
}

由于脚本的计算量很大，因此应在建立索引时将这两个字段加起来，并将结果建立索引，然后将其作为新字段直接在聚合中使用，如下所示:

{
  "query": {
    "bool": {
      "should": [
        {
          "term": {
            "_index": "logstash-2018.01.02"
          }
        },
        {
          "term": {
            "IPV4_DST_ADDR": "192.168.0.159"
          }
        },
        {
          "term": {
            "IPV4_SRC_ADDR": "192.168.0.159"
          }
        }
      ]
    }
  },
  "aggs": {
    "genres": {
      "terms": {
        "field": "L7_PROTO_NAME.keyword",
        "order": {
          "sum_bytes": "desc"
        }
      },
      "aggs": {
        "in_bytes": {
          "sum": {
            "field": "IN_BYTES"
          }
        },
        "out_bytes": {
          "sum": {
            "field": "OUT_BYTES"
          }
        },
        "sum_bytes": {
          "sum": {
            "field": "SUM_BYTES"
          }
        }
      }
    }
  }
}