Loki 与 ELK 的差异与选择

结论先行

Loki 是标签索引的日志聚合系统，和 Prometheus/Grafana 生态一致，成本低、适合 Kubernetes 日志；ELK（Elasticsearch/Logstash/Kibana）提供全文索引和强大检索分析，但资源开销更大。成本敏感的云原生日志选 Loki，复杂全文检索/分析选 ELK。

核心差异

怎么选

• Kubernetes 日志、已有 Grafana/Prometheus：Loki。
• 需要全文搜索、复杂聚合和 Kibana：ELK。
• 日志量大、成本敏感：Loki + 对象存储。
• 需要成熟的解析、富化和机器学习：ELK。

注意

logcli query '{app="api"} |= "error"' --since=1h
curl -s 'http://es:9200/_cluster/health?pretty'

• Loki 的标签基数决定查询性能；不要把请求 ID 等高基数字段做标签。
• ELK 的 mapping 和 shard 设计影响性能和成本；避免 mapping 爆炸。
• Loki 的全文检索是扫描式，范围过大也会慢；用标签和时间缩小。
• ELK 的 JVM 堆、磁盘 watermark 和分片副本要规划。
• 两者都需要采集器、存储和保留策略；日志量估算要提前做。
• 迁移不是换查询语言那么简单；仪表盘、告警和采集配置都要重做。

相关命令

• logcli — Loki 查询
• logstash / filebeat — ELK 采集
• elasticsearch / kibana — ELK 存储与查询