Discover 是什么
Discover 是 Kibana 的日志检索工作台，按「数据视图 + 时间范围 + 查询条件」三个输入检索文档，结果为可展开的明细行。它的价值在于把一次有效的检索固化下来：满意的查询可以存成 Saved Search，别人打开就能复现同样的视图，不必重新摸索字段名与过滤条件。Discover 不负责聚合画图，需要趋势与统计时把它下钻到可视化或仪表盘。
基本信息
| 适用平台 | Kibana 7.x / 8.x 各版本，界面位置略有差异 |
|---|---|
| 输入三要素 | 数据视图、时间范围、查询语句（KQL 或 Lucene） |
| 结果形态 | 文档明细行，可展开完整 JSON |
| 可复用产物 | Saved Search 与分享短链 |
典型使用场景
- 线上排障第一步：按 trace_id 或错误关键字定位单条日志的完整上下文
- 确认字段结构：打开一行看完整 JSON，弄清嵌套字段的真实路径
- 统计某类事件发生频率：勾选字段查看 Top 值分布，再决定要不要做看板
- 固化巡检视图：把常用检索存为 Saved Search，值班一键打开
- 分享证据：把带时间范围的短链发给同事，对方看到同一批日志
检索流程
检索流程
1. 选数据视图（如 logs-app-*）与时间范围 # 范围先窄后宽
2. 输入 KQL：service: order-api and level: error
3. 左侧字段列表勾选展示列（Selected fields） # 只留关心的几列
4. 展开某行看完整 JSON，对字段值点过滤或排除 # 生成等价条件
5. Save → Saved Search 复用；Share → 短链给同事 # 附带时间范围界面区域与作用
| 区域 | 作用 | 使用要点 |
|---|---|---|
| 时间选择器 | 限定检索的文档时间窗 | 默认相对时间，分享时确认是否固定绝对时间 |
| 查询框 | 输入 KQL 或 Lucene 条件 | 语法错误会标红，不要忽略提示 |
| 字段列表 | 选择展示列、查看字段分布 | Top 值分布是快速摸清陌生索引的手段 |
| 详情展开 | 查看该行完整 JSON | 嵌套对象按路径展开，复制字段名最可靠 |
| Field statistics | 字段出现频率与缺失比例 | 判断字段是否真的在采集，比猜更准 |
大时间范围叠加模糊条件会让查询变慢甚至超时：先把范围收窄到故障区间，确认条件有效后再逐步放大。
Saved Search 命名建议统一为「场景-服务-条件」，例如「排障-订单-超时错误」；否则多人各存一份重复视图，反而增加选择成本。