自建日志聚合该不该用：先看它解决的问题是不是你的问题

Loki 只给标签建索引，正文靠暴力扫描，标签设计直接决定查询快慢

它擅长的是多服务日志集中查；如果你只是按请求追踪，用现成的东西更省事。

先说结论

Loki 省的是索引成本，代价是「查得慢」，适合排障不适合审计

• 适合：多服务日志集中查
• 不适合：告警与留档
• 学习成本：把 trace_id 或用户 ID 当标签会让基数爆炸，几十万条流拖垮写入
• 最大收益：retention 默认不生效，要在 limits_config 里配并且开启 compactor
• 最大风险：给每个容器加 version 标签，每次发布多一条流，一年几十万条

它到底解决什么

Loki 只给标签建索引，正文靠暴力扫描，标签设计直接决定查询快慢。

换句话说，它把「多服务日志集中查」这件事从手工变成可重复的流程。这是它真正的价值，而不是功能列表的长度。

什么时候不该用

下面三种情况，用了反而更累：

给每个容器加 version 标签，每次发布多一条流，一年几十万条

没配 retention，一年后存储涨到几个 TB

用 Loki 存审计日志，要求精确检索才发现正文没索引

和替代方案比

单条日志超过 256KB 会被拒收，长堆栈要截断。

这台工具的关键细节

几个决定长期体验的点：

• 把 trace_id 或用户 ID 当标签会让基数爆炸，几十万条流拖垮写入
• retention 默认不生效，要在 limits_config 里配并且开启 compactor
• 单条日志超过 256KB 会被拒收，长堆栈要截断
• 查询时间范围越大越慢，30 天的全量 grep 可能要几分钟

我的建议

Loki 省的是索引成本，代价是「查得慢」，适合排障不适合审计。

先用两周，跑一个真实的小任务；两周后你还想用它，再谈长期。

还有几处容易忽略的

都是小地方，但出问题时往往就卡在这里。

• Loki 只给标签建索引，正文靠暴力扫描，标签设计直接决定查询快慢
• Promtail 按文件 tail，容器日志要先落到节点磁盘才采得到

工具是解法，不是身份。