如何在Grafana Loki/LogQL中实现Splunk式布尔与/或条件日志查询

要在Grafana Loki的LogQL中实现Splunk里('condition 1' AND 'condition 2') OR ('condition 3')的逻辑，你需要将两个独立的查询分支用括号包裹后，通过or操作符拼接。每个分支都要包含完整的流选择器和预处理步骤，确保日志先完成解析再做条件过滤。

具体查询语句如下：

({k8s_container_name="container"}
 | json
 | line_format `{{.body}}`
 | json
 |= `condition 1`
 |= `condition 2`)
or
({k8s_container_name="container"}
 | json
 | line_format `{{.body}}`
 | json
 |= `condition 3`)

逻辑说明 #

• 第一个括号内的分支：先完成两次JSON解析和格式转换，再通过两个|=操作符实现condition 1和condition 2的AND关系（多个|=会同时匹配所有条件）。
• 第二个括号内的分支：同样完成预处理后，匹配condition 3。
• 最终通过or操作符将两个分支的结果合并，实现和Splunk查询等价的逻辑。

内容的提问来源于stack exchange，提问作者SAJAL MATHUR