Loki 日志查询代理

要解决的问题

容器化环境里，日志分散在各个容器和节点上。如果用 Elasticsearch 这类方案做全文索引，存储成本随日志量线性增长，集群本身的运维负担也很重。Loki 的思路不同：它把日志当作压缩的、非结构化的数据来存储，只对元数据（labels）建索引，运营更简单，运行成本也更低。Loki 日志查询代理要解决的，就是把 Docker 容器日志直接、可靠地送进 Loki，并在查询时通过代理链路取回日志。

核心能力与工作方式

• Docker Driver Client：这是一个 Docker 插件，容器产生的日志不经过额外的采集进程，直接发送到 Loki，减少了中间环节和故障点。
• 元数据索引：Loki 只索引 labels 等元数据，日志正文保持压缩的非结构化形态，写入与存储开销都低。
• 查询代理：代理面向查询链路，配合 Loki 的 label 匹配机制定位日志流，再取回原始日志内容。

典型步骤：

1. 在环境中部署 Loki 与 Alloy（采集端组件）。
2. 安装 Docker Driver Client 插件，让容器日志直发 Loki。
3. 通过代理按 label 或时间范围发起查询，取回原始日志。

适用边界与注意点

• 不做全文索引：如果你需要对日志正文做任意关键词检索（像 Elasticsearch 那样），Loki 并不合适。它依赖 labels 定位日志，标签体系需要在一开始就规划好。
• 查询粒度受限：只索引元数据意味着没有全文检索能力，查询效率取决于 label 设计和时间范围。
• 采集端依赖：日志直发依赖 Docker Driver Client 插件的正确配置，Alloy 等组件也需要按环境实际部署，否则日志链路会在源头断开。