Elasticsearch 使用聚合结果应用过滤器

Question

无论如何我可以使用从聚合中获得的结果来过滤掉查询中的最终命中吗？

我想获取拥有超过 2 台设备的用户列表以及他们在数据库中的设备列表。 可以使用aggregations来完成设备计数，但是我很难弄清楚如何使用该结果来应用于最终命中。

我考虑过使用post_filter但它似乎没有用。

这是我的代码

{
"query": {
    "bool": {
            "filter": dt_filter, 
            "must": {"term": {"username": "cakenoodle"}}
        }
    }, 
    "aggs": {
        "user_count": {
            "aggs": {
                "nb_device": {"cardinality": {"field": "device_uuid"}},
                "nb_ip_addr": {"cardinality": {"field": "ip.address"}}, 
                "sus_count": {
                    "bucket_selector": {
                        "buckets_path": {
                            "nb_device": "nb_device",
                            "nb_ip_addr": "nb_ip_addr",
                        },
                        "script": "params.nb_device >= 2 && params.nb_ip_addr >= 2"
                    }
                }
            },
            "terms": {
                "field": "username"
            }
        },
    }, 
    "post_filter": {"range": {"nb_device": {"gte": 2}}} // didn't work here
}

SQL 的等价物是这样的：

WITH 
device_count AS (
    SELECT 
        user, 
        COUNT(device_id) nb_device
    FROM table
    GROUP BY user
    HAVING COUNT(device_id) >= 2
)

SELECT 
    table.user, 
    table.device
FROM table
    JOIN device_count ON device_count.user = table.user