Elasticsearch Dynamic Template 是什么？如何控制动态字段的映射规则？

简化版

Dynamic Template 用来给动态出现的字段配置匹配规则，让 ES 在自动映射时按你的规则设置字段类型。它能减少 dynamic mapping 的误判，但不能替代清晰的数据建模。

详细版

动态映射方便，但也容易把字段映射错，例如字符串被映射成 text、数字字符串被映射成 long、日志扩展字段无限膨胀。Dynamic Template 可以按字段名、路径或检测类型控制动态字段。

可用 match、path_match、match_mapping_type 匹配字段。
常用于把 *_id 映射成 keyword，把 labels.* 映射成 keyword。
能控制动态字段规则，避免默认 mapping 不符合查询场景。
规则顺序很重要，先匹配的规则可能先生效。
字段一旦映射，类型不能随意修改，错误仍要 reindex。

完整版教学

一、为什么 dynamic mapping 会带来隐患

ES 收到新字段时可以自动推断类型，这让接入很快，但隐患也很明显。日志里 traceId 第一次出现时是字符串，可能被建成 text + keyword；订单号 00123 如果被当数字处理，前导 0 语义就丢了；扩展字段不断新增，还可能造成 mapping 爆炸。Dynamic Template 的目的不是关闭灵活性，而是把“自动推断”变成“按规则推断”。

PUT logs-000001
{
  "mappings": {
    "dynamic_templates": [
      {
        "ids_as_keyword": {
          "match": "*_id",
          "mapping": { "type": "keyword" }
        }
      }
    ]
  }
}

记忆钩子：dynamic mapping 是自动驾驶，dynamic template 是给自动驾驶加路线规则。

二、常见匹配条件怎么用

Dynamic Template 可以按字段名、路径、ES 推断出来的类型匹配。match 适合字段名模式，例如 *_code；path_match 适合嵌套路径，例如 labels.*；match_mapping_type 适合根据推断类型二次控制，例如所有 string 默认改成 keyword。匹配条件越宽，越要谨慎，因为它会影响未来所有符合规则的新字段。

{
  "dynamic_templates": [
    {
      "labels_keyword": {
        "path_match": "labels.*",
        "mapping": { "type": "keyword", "ignore_above": 256 }
      }
    }
  ]
}

三、为什么规则顺序重要

Dynamic Template 是按顺序匹配的，前面的规则可能先吃掉字段。比如你先写“所有 string 都映射为 keyword”，后面再写“message 字段映射为 text”，那 message 可能已经被第一条规则匹配，后面的规则就没机会了。生产中应该把更具体的规则放前面，更泛化的兜底规则放后面。这个顺序问题很像防火墙规则，越具体越靠前。

规则顺序	结果
先 `message` text，再所有 string keyword	message 可分词，其他字符串 keyword
先所有 string keyword，再 `message` text	message 可能被错误映射
无兜底规则	依赖默认推断，风险更大

四、带数字理解 mapping 爆炸

假设每条日志都允许用户自定义 20 个 labels 字段，100 个团队各自乱传字段名，一个月后可能出现几千甚至上万个字段。字段越多，cluster state 越大，mapping 管理越重，查询和写入也会受到影响。Dynamic Template 可以把某些动态路径统一成 keyword 并限制长度，但更根本的是限制字段数量和命名规范。

100 个团队 × 每团队 50 个自定义字段 = 5000 个潜在字段
如果每个字段再生成 text + keyword，多字段数量会继续放大

五、Dynamic Template 和禁用 dynamic 的取舍

如果业务字段稳定，最稳的是显式 mapping 或把 dynamic 设置得更严格；如果业务确实有扩展字段，Dynamic Template 是折中方案。比如订单核心字段必须显式定义，扩展标签 labels.* 用模板控制。不要把所有业务字段都交给动态模板，因为模板只能按模式处理，无法理解字段真实业务语义。

{
  "mappings": {
    "dynamic": "strict",
    "properties": {
      "orderId": { "type": "keyword" },
      "amount": { "type": "scaled_float", "scaling_factor": 100 }
    }
  }
}

六、映射错了为什么不能原地轻松改

ES 的字段类型影响底层索引结构，text、keyword、date、long 的存储和查询方式都不同。字段一旦写入并建立 mapping，就不能像改注释一样随便改类型。常见处理是创建新索引，使用正确 template 和 mapping，把旧数据 reindex 过去，再切 alias。Dynamic Template 的价值就在于把错误挡在新字段第一次进入索引之前。

错误 mapping 修复：
创建新索引 -> 套正确模板 -> reindex -> 校验 -> alias 切换

七、常见误区与追问

误区：Dynamic Template 能理解业务语义。 它只是按字段名、路径和推断类型匹配，不知道业务含义。
误区：规则写了就一定按预期生效。 规则顺序、匹配范围和已有 mapping 都会影响结果。
误区：映射错了可以直接改字段类型。 多数类型变更需要新建索引并 reindex。
追问：*_id 为什么常映射 keyword？ ID 通常用于精确匹配和聚合，不需要分词。
追问：怎么防止 labels 字段爆炸？ 规范字段名、限制字段数、对动态路径用模板，必要时禁用或扁平化建模。

八、加强记忆

Dynamic Template 可以记成“动态字段的映射规则表”。它解决的是默认推断太随意的问题，尤其适合 ID、标签、扩展字段这类有命名规律的字段。答题时围绕三个点：匹配条件、规则顺序、映射错了要 reindex，再补上 mapping 爆炸风险，就能把这题讲透。

简化版

详细版