要精准定位Pod过去24小时ERROR/panic/5xx日志，需用LogQL构造带标签过滤与正则匹配的查询：先确认Pod完整标签（含命名空间前缀），再使用{namespace="default",pod="..."} |~ "(ERROR|panic|50[0-9]|51-9)"等语句，并设置时间范围为Last 24 hours。
要从Loki中精准定位某个Pod过去24小时内出现的ERROR、panic或5xx响应码等历史异常日志，必须绕过默认的全文模糊匹配，用LogQL构造带标签过滤与行级模式约束的精确查询语句。
确认目标Pod的完整标签信息
进入Grafana → 左侧菜单点击Explore → 顶部数据源切换为Loki → 在查询框输入{job="kubelet"}并执行，观察右侧“Labels”面板中该Pod对应的pod值，注意它通常包含命名空间前缀（如default/nginx-deployment-7c5bb98f58-xyzab）；【若直接写pod名不加命名空间前缀，查询将返回空结果】。
也可在终端执行kubectl get pod -n <em>your-ns</em> <em>your-pod-name</em> -o jsonpath='{.metadata.labels}'提取全部label键值对，用于后续构建更严格的匹配条件。
构造LogQL查询语句
方法一：基础异常关键词匹配
{namespace="default", pod="nginx-deployment-7c5bb98f58-xyzab"} |~ "(ERROR|panic|fatal|50[0-9]|5[1-9][0-9])" —— 这条语句先按Pod标签精确筛选日志流，再对原始日志行做正则匹配；【注意|~前面必须有空格，否则语法报错】。
方法二：排除干扰日志的增强写法
{namespace="default", pod="nginx-deployment-7c5bb98f58-xyzab", container="nginx"} |~ "ERROR|panic" | __error__ = "" —— 添加container标签缩小范围，用| __error__ = ""过滤掉Loki自身解析失败产生的元错误日志，避免污染结果。
方法三：时间范围+多级筛选组合
第一步：点击Grafana右上角时间选择器 → 选“Last 24 hours”或手动输入now-24h到now；
第二步：在LogQL框中粘贴：{namespace="default", pod=~"nginx-deployment.*"} | line_format "{{.log}}" |~ "refused|timeout|connection reset"；
第三步：勾选“Wrap lines”让长日志可读，点击“Run query”。
快速验证与调试技巧
如果查不到预期日志，先执行{namespace="default", pod="nginx-deployment-7c5bb98f58-xyzab"} | head(10)看是否能拉到原始日志流——若无返回，说明Pod标签写错或该Pod近期无日志上报；若有返回但无异常内容，把|~换成|（全行精确匹配）试试| "ERROR"，排除正则书写问题。
日志量过大时，点击结果列表上方的“Toggle labels”可折叠重复标签列，聚焦查看ts和line字段。
