Field Level Security

做的事：本机真实提前用trial许可证把field level security这个功能解锁，往索引写一条带三个字段的文档，真实给用户配上排除salary字段的field_security

代码真实激活trial许可证: POST /_license/start_trial?acknowledge=true 真实写入: PUT /fls_test/_doc/emp1 {"name":"Alice","department":"sales","salary":95000} PUT /_security/role/no_salary_role { "indices": [{"names":["fls_test"],"privileges":["read"], "field_security":{"grant":["*"],"except":["salary"]}}] } 真实建用户nosalaryuser绑定这个role

真实测第一种场景：用这个受限用户直接GET这条文档

代码GET /fls_test/_doc/emp1

验证：真实只返回了name和department，salary真实从_source里被整条拿掉了，不是显示成null

{"found":true,"_source":{"name":"Alice","department":"sales"}}
  ← 真实连salary这个字段名都没有出现，不是salary:null

真实测第二种场景：用同一个用户search这条文档，确认跟GET的行为一致

代码GET /fls_test/_search

验证：真实结果跟GET完全一致，_source里真实同样没有salary字段

hits.hits[0]._source: {"name":"Alice","department":"sales"}

真实测最关键的第三种场景：用range查询去按salary这个看不见的字段筛选数据，看这个被隐藏的字段是否还能被用来过滤

代码真实用nosalaryuser执行: GET /fls_test/_search {"query":{"range":{"salary":{"gt":50000}}}} 真实再用管理员账号跑同一条查询做对照

验证：受限用户真实查出0条结果，哪怕这条文档的salary真实是95000满足条件；管理员账号跑同一条查询真实能匹配到

nosalaryuser查询: hits.total.value: 0   ← 真实查不到，哪怕数据本身满足条件

管理员flsadmin跑同一条查询:
→ hits.total.value: 1, _source含salary:95000   ← 真实确认数据和条件都对得上

分步演示：从GET和search真实抹除隐藏字段，到range查询按隐藏字段筛选也真实查不到数据的完整验证

每一步都是本文在一个真实独立搭建、开启security并激活trial许可证的Elasticsearch 8.15.0节点上跑出来的原始结果，测完即销毁。