Elasticsearch 7.x 处理中文日志搜索，最稳妥的方案是安装与版本严格匹配的 IK 分词器插件，并在索引 mapping 中指定 analyzer。默认分词器对中文支持有限，直接按字切分会导致搜索不准。

插件安装与配置

如果你使用 Docker 部署，可以参考以下命令快速安装插件并验证。注意版本号需替换为你实际的 ES 版本，例如 7.12.1 或 7.9.2。

# 进入容器内部（请替换 <容器 ID 或名称>）
docker exec -it <容器 ID 或名称> /bin/bash

# 安装 IK 插件（需联网，内网环境请提前下载 zip 到挂载目录）
./bin/elasticsearch-plugin install https://github.com/medcl/elasticsearch-analysis-ik/releases/download/v7.12.0/elasticsearch-analysis-ik-7.12.0.zip

# 退出容器并重启
exit
docker restart <容器 ID 或名称>

注意：

• 网络连通性：在线安装要求容器能访问 GitHub，内网环境请下载 zip 包后通过离线方式安装。
• 配置持久化：若需修改分词词典（IKAnalyzer.cfg.xml），务必在 docker run 时将 plugins 或 config 目录挂载到宿主机，否则容器重启后配置会丢失。

生产环境：使用 Index Template

日志场景通常涉及多个索引（如按天拆分），手动创建索引容易遗漏分词配置。建议使用 Index Template 自动匹配日志索引模式。

PUT _index_template/log_ik_template
{
  "index_patterns": ["logs-*"],
  "template": {
    "settings": {
      "number_of_shards": 1,
      "number_of_replicas": 1
    },
    "mappings": {
      "properties": {
        "message": {
          "type": "text",
          "analyzer": "ik_max_word",
          "search_analyzer": "ik_smart"
        },
        "timestamp": {
          "type": "date"
        }
      }
    }
  }
}

实战：索引创建与搜索查询

模板配置生效后，创建符合模式的索引并写入测试数据。

# 创建索引（自动匹配上述模板）
PUT logs-2023.10.01

# 写入测试日志
POST logs-2023.10.01/_doc/1
{
  "message": "中华人民共和国国歌在南山区播放",
  "timestamp": "2023-10-01T10:00:00Z"
}

执行中文搜索查询，验证是否能准确匹配词语而非单字。

# 搜索包含"南山区"的日志
POST logs-*/_search
{
  "query": {
    "match": {
      "message": "南山区"
    }
  }
}

验证分词效果

安装重启后，不要直接导入数据，先用 _analyze API 测试。发送 POST 请求到 _analyze 接口，传入 analyzer 为 ik_smart 或 ik_max_word，text 为测试中文短语。观察返回的 tokens 列表，确认词语是否被正确切分。

curl -X POST "localhost:9200/_analyze" -H "Content-Type: application/json" -d'{"analyzer": "ik_smart","text": "中华人民共和国国歌"}'

例如“刘亦菲早上好”在 ik_smart 下应分为“刘亦菲”、“早上好”，而不是单字。

常见坑与排查

• 版本不匹配：下载了最新版 IK 插件但 ES 是旧版，导致启动失败。务必核对版本号，插件版本必须与 ES 内核版本一致。
• 忘记重启：安装插件或修改词典配置后，必须重启 ES 服务，否则配置不加载。
• 集群重启策略：如果是多节点集群，不要同时重启所有节点。应逐台操作，避免服务不可用。
• 权限问题：在 Linux 环境下，确保 plugins 目录及其子文件权限正确，否则 ES 进程无法读取插件文件。
• Docker 配置丢失：直接在容器内修改配置文件未挂载卷，重启后配置还原。生产环境务必使用 volume 挂载配置目录。

参考来源

• elasticsearch-analysis-ik Releases: https://github.com/infinilabs/analysis-ik/releases
• elasticsearch-analysis-ik Official Repo: https://github.com/medcl/elasticsearch-analysis-ik
• Elasticsearch Index Templates Documentation: https://www.elastic.co/guide/en/elasticsearch/reference/7.x/index-templates.html