Graylog 的搜索引擎基於 Lucene,通過關鍵字和字段條件快速檢索日志。打開 Search 頁面後,頂部輸入框即為查詢入口,可即時查看結果與圖表。
基本搜索
error (中英文的搜尋結果可能會不同)"failed login"
field:value,如 source:nginx
邏輯運算符
status:500 AND method:GET
特殊字符處理
*(多字符)、?(單字符)userna* 匹配 username、usernamed
\,如 \* 匹配星號本身存在性查詢
_exists_:http_status
範圍查詢
bytes:[100 TO 1000]
timestamp:["2025-09-29 00:00:00" TO "2025-09-30 23:59:59"]
正則表達式
/…/ 包裹,如:
message:/timeout\serror/
模糊搜索
field:value~1,允許 1 字符差異
username:admni~1
索引優化
字段指定
level:ERROR 優於單純 ERROR
通配符使用
* 或 ?,如 *error,因為會觸發全索引掃描查詢過去 1 小時內所有 nginx 5xx 錯誤:
source:nginx AND status:5* AND timestamp:>now-1h
查詢包含 “timeout error” 或 “connection refused” 的記錄:
message:("timeout error" OR "connection refused")
篩選欄位存在並且用戶名近似 admin:
_exists_:username AND username:admin~1