守株阁

打开 Discover 不等于只发出一次搜索请求。字段侧边栏、顶部直方图和文档表格各自需要不同的数据，它们围绕同一查询状态触发 field caps、聚合与文档检索。Discover 的核心因此更接近多请求编排器，而不是“搜索框加表格”。 Discover 的请求拓扑 123456789101112131415161718192021222324252627282930用户打开 Discover（或改变条件） │ ├─── [1] field_caps 请求 │ GET /<index-pattern>/_field_caps?fields=* │ → 返回每个字段的类型和能力集 │ → 驱动左侧字段侧边栏渲染 │ 触发条件：Data View 切换、mapping 变化 │ ├─── [2] date_histogram 聚合请求（直方图） │ POST /<index-...

在 Kibana 查询栏输入的 KQL 并不会原样交给 Elasticsearch。KQL、Lucene query string 和过滤器 pills 会先在 Kibana 内部转换，再由 Search Source 组装成 Query DSL 请求。查询语法、过滤器状态以及 query/filter context 的差异，都在这条翻译链上汇合。 本文讨论的是 Discover 的经典查询模式。切换到 ES|QL 模式后，查询直接面向索引运行，不要求先选择 Data View，也不经过下面这条 KQL/Lucene 翻译链。 翻译管道全局模型 123456789101112131415161718192021222324252627282930313233用户输入层 ├── KQL (Kibana Query Language) e.g. status:200 AND method:GET ├── Lucene query string e.g. status:200 AND method:GET (相同写法, 不同解析器) └── 过滤器...

Elasticsearch mapping 只描述字段在索引中的物理类型，Kibana 还需要知道默认时间字段、显示格式和运行时扩展。Data View 位于这两层之间，把一组索引转换成可供 Discover、Lens 等应用消费的字段语义模型。它远不止一个索引名称配置项。 Data View 在链路里的位置 123456789ES 物理索引 Data View (SO) Kibana UI────────────────── ────────────────────────── ──────────────────────logs-app-2026.08.* → title: "logs-app-*" → Discover 字段列表logs-app-2026.07.* timeField: "@timestamp" KQL 自动补全metrics-host-* field...

Dashboard、Data View、Lens 配置和告警规则看起来分属不同功能，落到持久化层却共享同一套 Saved Object 协议。它用 type、attributes、references 和版本迁移机制管理跨插件状态，避免每个功能各自设计一套存储格式。导入、导出与升级迁移也由这层协议统一承接。 Saved Object 的结构 每个 Saved Object 在 .kibana 系列索引里是一条 ES 文档，其 _id 格式为 <type>:<uuid>，_source 里携带固定的元数据字段加上一个以 type 命名的嵌套对象存放实际载荷： 1234567891011Saved Object 文档结构（_source）────────────────────────────────────────────────type "dashboard" # 类型标识，对应注册的 SO 类型id "a1b2c3d4-..." # ...

Kibana 3 曾让浏览器直接连接 Elasticsearch，Kibana 4 以后却在中间加入了 Node.js server。这个变化不只是部署形态调整：凭据隔离、后台任务、报表生成和插件生命周期都需要一个应用服务层。沿着一次浏览器请求向下追踪，才能看清三层架构各自承担的职责。 三层结构 请求从浏览器出发，经过 Node.js server，最终到达 Elasticsearch。每一层的职责边界如下： 12345678Browser Node.js Server Elasticsearch─────────────────── ────────────────────────── ───────────────────────React UI (plugins) ──► HTTP routes / auth proxy ──► .kibana system indicesKQL / Lens editor Saved Objects service business i...

Logstash 常被当成"把日志灌进 Elasticsearch 的那个工具"，学习方式往往是抄一段 logstash.conf、改几个 Grok 正则、跑通就算会了。这条路能用起来，但解释不了几个问题：为什么同样一份配置，pipeline.workers 调大有时提升吞吐、有时毫无变化？为什么下游 Elasticsearch 变慢，会反过来让 input 端读取变慢？持久队列到底在崩溃时保住了什么、又保不住什么？ 这些问题的答案都不在插件参数表里，而在两个更底层的抽象上：Logstash 处理的核心对象是 event，处理的骨架是 input-filter-output 三段管道。event 是一个带 @timestamp 的结构化文档，是管道里流动的最小单位；三段管道规定了字节怎么变成 event、event 怎么被加工、加工完的 event 怎么发往下游。codec、Grok、队列、批处理、背压这些机制，全都是围绕"event 在三段管道里怎么流"展开的。 本系列只抓一个问题：Logstash 这套以 event 为核心对象、以三段...

Kibana 常被介绍为"Elasticsearch 的图形界面"或"ES 的可视化前端"。这个说法把 Kibana 的位置放低了一层，也解释不了几个基本现象：为什么 Kibana 要自带一个 Node.js 服务，而不是像 Kibana 3 那样纯浏览器直连 ES？为什么在浏览器里保存一张 Dashboard，会往 Elasticsearch 里写一条数据，而这条数据又不出现在业务索引里？为什么升级 Kibana 大版本时，它会在启动阶段做一轮"迁移"，动的却是 ES 里的某些系统索引？ 更准确的说法是：Kibana 是一个后端在 Elasticsearch、前端在浏览器、而自身状态也存在 Elasticsearch 里的三层应用平台。用户在界面上建的每一个 Data View、拖的每一张可视化、组的每一个 Dashboard、配的每一条告警规则，都不是存在浏览器本地、也不是存在某个独立数据库，而是以 Saved Object 的形式写进以 .kibana 为前缀的系统索引。Kibana 把 Elasticsearch...

大模型的知识库能力在过去两年里经历了快速迭代。OpenAI 和 Anthropic 作为这个领域最有代表性的两家公司，走出了截然不同的技术路线。一家押注"窗口越大越好"，另一家选择"检索越准越好"。这种分歧不是表面的产品差异，而是反映了对"如何让 AI 有效利用外部知识"这一基本问题的不同回答。 从时间跨度上看，2023 年底到 2026 年中这段时间是知识库能力爆发式增长的阶段。两家公司几乎每个季度都有新的能力发布，而且技术路线的分化越来越明显。 这里说的"知识库"不仅仅指 RAG 或向量数据库，而是涵盖了从文档存储、检索、记忆管理到工具连接的整个链路——所有让 AI 系统能够有效利用外部知识的技术。 OpenAI：用规模碾压复杂度 OpenAI 在知识库方向上的核心策略可以概括为一句话：把上下文窗口做大，把基础设施做全，让用户把文档直接塞进去。 这个策略的底层逻辑并不复杂：如果模型能一次性「看到」所有相关信息，那检索这个步骤就变得多余。 而 OpenAI 恰好拥有最强的算力基础设施来支撑这个方向。...

上一篇讲了现代大数据栈的演进。本篇是系列最后一篇——总结 Hadoop 留下的设计遗产。 Hadoop 项目本身在某些场景被云原生 stack 取代，但 Hadoop 沉淀的设计思想已经成为后续大数据、云原生系统的重要起点。本篇把全系列 23 篇文章压成一组“可迁移的设计模式”，看 Hadoop 的哪些核心思想被后续系统继承。 Hadoop 的设计遗产不是"代码"，而是"前提假设 + 工程对策"——节点失败是常态、大对象切块、副本放在一起、心跳监控、自动重做、双层调度、分而治之、Append-Only Journal、Snapshot + Checkpoint。这些模式已经成为现代分布式系统的标准设计语言，被 Kafka、Cassandra、Kubernetes、Spark、Flink、Ray 等系统以不同方式继承。 本篇只抓一个问题：Hadoop 的哪些设计模式被后续系统继承、各自如何变体、为什么这些模式有跨时代的生命力。 三条核心前提的传承 本系列 00 篇把 Hadoop 的主线压成一句话——以"节点总会失败"为前...

上一篇讲了 Hadoop 生态。本篇讲现代大数据栈的演进——对象存储和 Kubernetes 如何逐步替代 HDFS 和 YARN。 云原生大数据栈常被简化成"把 Hadoop 搬到云上"。这个简化漏了核心架构变化。准确的说法是：现代大数据栈把 Hadoop 的"存储 + 计算 + 编排"三层各自独立演化——存储层从 HDFS 切到 S3 / OSS 等对象存储（彻底解耦存储与计算）、计算层从 MapReduce 演进到 Spark / Flink（内存优先 + 流批一体）、编排层从 YARN 切到 Kubernetes（弹性扩缩容 + 多租户隔离）。三层解耦后每个组件独立演化、独立计费、独立运维，让大数据栈从"集成式 Hadoop 集群"变成"组合式数据平台"。 本篇只抓一个问题：对象存储为什么能取代 HDFS、Spark on K8s 现在能取代 YARN 多少、现代大数据栈与 Hadoop 的具体架构差异、什么场景应该选哪种。 存储层：HDFS vs 对象存储 HDFS 在 Hadoop 1.x...