4. 查询边界概念：查询上下文与过滤上下文、评分与不评分查询的区别

在构建具备权限过滤与字段级安全的搜索系统时，理解查询的“边界”是核心前提。Elasticsearch 等现代搜索引擎将查询执行环境严格划分为两种上下文：查询上下文（Query Context）与过滤上下文（Filter Context）。这两种上下文决定了查询是否参与评分、是否利用缓存、以及如何影响最终结果集。本章将深入剖析这两种上下文的本质区别，并阐明评分与不评分查询在实际权限过滤中的关键作用。

4.1 查询上下文（Query Context）

查询上下文是搜索引擎计算文档与查询之间相关性分数（_score）的环境。在此上下文中执行的查询会分析词频（TF）、逆文档频率（IDF）、字段长度归一化（Field-length Norm）等因子，为每个匹配文档生成一个浮点数分数，并按分数降序排列结果。

• 评分行为：每个匹配文档都会获得一个 _score，用于排序。
• 性能特征：计算开销较大，因为需要遍历倒排索引并执行评分算法（如 BM25）。
• 缓存行为：查询上下文的结果通常不缓存，因为评分依赖查询词项，变化频繁。
• 典型场景：全文搜索、关键词匹配、模糊查询——用户期望“最相关”的结果排在前面。

4.2 过滤上下文（Filter Context）

过滤上下文是一个“是/否”的二元决策环境。它只判断文档是否满足条件，不计算相关性分数。所有匹配文档的 _score 统一为 0（或在复合查询中被忽略）。

• 不评分行为：不计算 _score，仅返回布尔匹配结果。
• 性能特征：计算开销小，因为无需执行评分算法。
• 缓存行为：结果可被节点级缓存（如 Elasticsearch 的 Request Cache 或 Filter Cache）高效缓存，因为过滤条件通常是静态或半静态的（如角色、权限标签）。
• 典型场景：权限过滤、日期范围限定、状态筛选、字段级可见性控制。

4.3 评分与不评分查询的对比

4.4 查询上下文与过滤上下文的协作流程

在实际搜索请求中，两种上下文通常协同工作。一个典型的权限感知查询结构如下：

{
  "query": {
    "bool": {
      "must": [
        { "match": { "title": "机密报告" } }   // 查询上下文：评分
      ],
      "filter": [
        { "term": { "security_level": "L3" } }, // 过滤上下文：不评分
        { "term": { "department": "研发部" } }  // 过滤上下文：不评分
      ]
    }
  }
}

执行流程：

1. 过滤阶段：首先执行 filter 子句，快速缩小候选集（仅保留 security_level 为 L3 且 department 为研发部的文档）。
2. 评分阶段：在过滤后的子集上执行 must 中的评分查询，计算相关性分数。
3. 合并输出：最终结果按 _score 排序，且已自动满足权限约束。

4.5 两种上下文的边界与性能影响

理解两种上下文的边界对于设计高性能搜索架构至关重要。以下 SVG 图展示了查询执行引擎内部如何划分这两种上下文，以及数据流的走向。

4.6 字段级安全中的上下文选择策略

在字段级安全（Field-Level Security, FLS）实现中，查询边界的选择直接影响安全粒度和系统性能。以下策略是业界最佳实践：

• 行级权限（文档级）：使用过滤上下文中的 terms 查询，匹配用户所属的角色 ID 或安全组。例如：{"terms": {"allowed_roles": ["admin", "analyst"]}}。
• 字段级可见性：在查询结果返回阶段，通过 _source 过滤或 fields 参数限制字段输出。这属于“响应边界”，而非查询上下文，但需与过滤上下文配合。
• 字段值级过滤：如果某字段的值本身包含安全分类（如 salary_range 字段），则使用过滤上下文中的 range 查询限制可见范围。

4.7 复合查询中的上下文嵌套规则

Elasticsearch 的 bool 查询是两种上下文协作的典型容器。理解其嵌套规则是避免安全漏洞的关键：

以下 SVG 图展示了在复合查询中，两种上下文如何嵌套与协作，形成完整的查询边界：

4.8 小结：查询边界的设计原则

在实现搜索索引的权限过滤与字段级安全时，遵循以下查询边界设计原则可确保系统既安全又高效：

1. 分离关注点：相关性评分与权限筛选必须使用不同的上下文。评分任务交给查询上下文，权限任务交给过滤上下文。
2. 缓存优先：所有静态或半静态的安全规则（角色、部门、安全等级）都应放入过滤上下文，以充分利用节点级缓存。
3. 避免评分污染：安全条件不应出现在 must 或 should 中，否则恶意用户可能通过构造查询词项使未授权文档获得高分，从而绕过权限控制。
4. 字段级安全在响应层：字段级可见性控制应在查询结果返回阶段实施，而非在查询上下文中。使用 _source 过滤或 fields 参数，配合过滤上下文中的文档级权限，形成双层安全屏障。