logql 不支持日志洗涤，仅用于查询过滤；真正脱敏必须在 promtail 采集侧通过 replace 阶段实现，loki 层面日志不可变。
LogQL 本身不支持“洗涤”（即脱敏或修改日志内容），它仅用于**查询和过滤**日志。Loki 是只读日志聚合系统，所有日志写入后不可变，因此无法在 Loki 层面实时删除、替换或擦除敏感 Token。所谓“秒级内洗涤千级 Pod 的敏感 Token”，若理解为“在查询时动态脱敏显示”，是可行的；若理解为“写入前清洗”，则必须在日志采集侧（如 Promtail）完成。
LogQL 中用正则提取 Token（非洗涤，仅定位）
LogQL 的 __error__、line_format 和 pattern 等语法可用于匹配、提取字段，但不能改写原始日志。例如，用 pattern 提取含 Token 的行：
-
{job="kubernetes-pods"} | pattern `(?P<token>eyJ[a-zA-Z0-9_-]{10,})`</token>—— 提取 JWT 类 Token -
{namespace="prod"} |~ `token|secret|auth.*[=:].{15,}`—— 快速筛选疑似敏感行 -
{pod_name=~"app-.*"} | json | __error__ = "" | line_format "{{.message}} {{.token}}" | __error__ = ""—— 结合 JSON 解析与字段投影
真正实现 Token 洗涤：必须在 Promtail 阶段
洗涤（如将 "token": "abc123..." 替换为 "token": "[REDACTED]"）只能在日志发送到 Loki 前完成，靠 Promtail 的 pipeline_stages 实现：
- 使用
regex+labels或replace阶段识别敏感模式 - 用
replacestage 精确替换（支持 Go 正则，支持捕获组）：- replace:<br> expression: '("token":\s*")([^"]+)(")'<br> replace: '${1}[REDACTED]${3}' - 对千级 Pod，通过
match规则按 label（如pod_name,namespace）条件启用脱敏 pipeline，避免全局性能损耗
高危误操作提醒：别在 LogQL 查询里幻想“改日志”
Loki 查询永远只读。以下做法无效且误导：
-
| line_format "REDACTED"—— 仅重写展示文本，原始日志未变，导出或下游消费仍暴露 -
| json | token = "[REDACTED]"—— 这是无效语法，LogQL 不支持赋值修改字段值 - 依赖 Grafana 日志面板的“隐藏字段”功能来“保护敏感信息”——该功能仅前端隐藏，API 返回体、导出 CSV/JSON 仍含原始内容
生产建议：分层防护策略
单靠 Loki 或 LogQL 无法保障 Token 安全，需组合落地：
- 源头控制：应用日志中避免打印完整 Token，优先输出 trace_id 或 hash 后标识
-
采集侧脱敏：Promtail 配置 per-pod pipeline，用
replace+regex实时擦除，开启multiline防跨行漏匹配 -
访问控制：Loki RBAC 限制敏感 namespace/pod 的日志查询权限（如通过
tenant_id隔离） -
审计与告警：用 LogQL 定期扫描新入库日志中是否含
token=|Authorization: Bearer，触发告警而非事后“洗涤”
