Log Dive — 统一日志搜索与智能分析
核心用法
Log Dive 是一款面向 SRE 和运维工程师的统一日志搜索技能，支持同时连接 Loki、Elasticsearch/OpenSearch 和 AWS CloudWatch 三大主流日志后端。用户可用自然语言描述查询意图（如"查找 checkout 服务过去30分钟的错误日志"），系统自动翻译为对应查询语言（LogQL、ES Query DSL 或 CloudWatch Filter Pattern），无需记忆复杂语法。
工作流程遵循四步：① 检测已配置的后端环境变量；② 将自然语言转换为后端特定查询；③ 执行搜索并获取结果；④ 智能分析输出（错误归类、根因推断、时间线重建）。支持实时日志追踪（tail/follow）、跨服务关联分析和 Discord 场景下的紧凑交付模式。
显著优点
1. 多后端统一：打破 Loki、ES、CloudWatch 的数据孤岛，单入口查询所有日志源
2. 自然语言翻译：大幅降低 LogQL/DSL 学习成本，新用户即可快速上手
3. 智能结果分析：不直接倾倒原始日志，而是自动聚类错误类型、识别根因、构建时序关系
4. 安全设计：明确只读权限（read-only），禁止写操作；强制要求不在对话外缓存日志（含 PII/密钥敏感数据）
5. 场景优化：针对 Incident Response 设计紧凑输出格式，支持 Discord 组件交互和分块消息
潜在局限
- 网络依赖：后端必须可被 OpenClaw 运行环境直接访问，VPN/防火墙问题会导致连接失败
- 结果上限：默认限制 200 条，大规模故障排查需拆分多次查询
- 无复杂聚合：不支持百分位、速率计算等高级聚合，复杂分析仍需依赖 Grafana/Kibana 原生界面
- 环境配置门槛：需预置后端凭据环境变量（LOKI_ADDR、ELASTICSEARCH_URL、AWS_PROFILE 等），无零配置开箱体验
适合人群
- SRE / 平台工程师：日常故障排查、部署验证、性能根因分析
- On-call 工程师：夜间紧急事件响应，需快速跨服务关联错误
- DevOps 团队：多云/混合云环境（同时有 Loki + ES + CloudWatch）的统一运维入口
常规风险
- 敏感数据暴露：日志天然含 PII、密钥、token，技能虽声明不缓存，但用户仍需确保终端环境安全
- 凭证泄露风险：环境变量存储后端令牌，共享环境或日志打印可能意外暴露
- 查询范围过大：自然语言表述模糊时可能触发全量索引扫描，影响后端性能
- 依赖外部工具：需预装 logcli、aws-cli、curl、jq，缺失时功能不可用