Loki 基础回顾：LogQL 查询语言与标签（Label）的核心概念

在深入弹性伸缩健康检查的标签设计之前，必须重新夯实 Loki 的两大基石：LogQL 查询语言与标签（Label）。标签是 Loki 的索引骨架，LogQL 是检索的刀锋。本节将拆解它们的核心机制，为后续实战铺平道路。

2.1 标签（Label）：Loki 的索引骨架

Loki 的设计哲学与 Prometheus 一脉相承：标签是唯一可以被索引的元数据。日志内容本身不会被全文索引，只有标签对（key=value）会被构建为倒排索引。这意味着：

• 查询速度：取决于标签筛选的精确度。标签越精准，扫描的日志流（Stream）越少。
• 存储成本：每个唯一的标签组合都会创建一个新的日志流。过多的标签组合会导致“流爆炸”，拖垮 ingester 和 querier。
• 设计原则：标签基数（Cardinality）必须可控。通常建议标签的取值数量不超过 10,000 个。

2.2 LogQL 查询语言：从流选择器到管道

LogQL 分为两个主要阶段：日志流选择器（Log Stream Selector）和管道表达式（Pipeline Expression）。

2.2.1 日志流选择器

这是查询的第一步，通过标签匹配来锁定目标日志流。语法与 PromQL 完全一致：

{app="nginx", env="production"}
{app=~"api|web", cluster="prod-us-east"}
{app!="sidecar"}

支持的操作符包括：=（精确匹配）、!=（排除）、=~（正则匹配）、!~（正则排除）。

2.2.2 管道表达式

在选定流之后，通过管道对日志行进行过滤、解析、计算。常用管道操作：

2.3 标签设计对查询性能的影响

错误的标签设计会导致查询扫描大量无关的日志流。以下对比展示了不同标签策略下的查询效率：

2.4 核心概念关系图

下图展示了标签、日志流、LogQL 查询三者之间的协作关系：

2.5 标签设计黄金法则

基于以上概念，总结出标签设计的四条黄金法则，这也是后续弹性伸缩健康检查场景的指导思想：

1. 低基数优先：标签取值数量应控制在千级以内，万级为警戒线。
2. 区分度与稳定性并重：选择能有效划分日志流、且取值相对稳定的属性（如 app、env、cluster、service）。
3. 避免动态标签：不要将每次请求都会变化的字段（如时间戳、随机 ID）作为标签。
4. 结构化日志优于标签：将高基数或非索引必要的数据放在日志正文中，使用 | json 或 | logfmt 在查询时解析。