
【摘要】这篇记录的是一次"接入方案"，不是查询改写。背景是日志排查的查询请求几乎全部压在少数几个会写 ES DSL 的人身上，我们想让业务、测试、算法同学能自己查。方案的核心是把查询入口换成走 MySQL 协议的 SQL 入口：[Apache Doris](https://doris.apache.org) 的 FE 默认监听 9030 端口，MySQL 客户端、JDBC、Grafana 这类工具不用改造就能接入，剩下的工作是账号权限规划、资源隔离和一份 SQL 模板库。网易云音乐公开案例里（日志库 2PB、50 台规模），6TB 数据下 MATCH 比 LIKE 快 3–7 倍、P99 延迟降低 30%。文末附适用场景与不适用场景清单。

## 一、先说结论

自助查询这件事能不能做成，我判断的依据不是"引擎够不够快"，而是下面几条是否命中：

|判断项|命中时的含义|建议动作|
|:-:|:-:|:-:|
|查询请求集中在少数人手上|检索能力是一项个人技能，不是一个入口|换入口，让工具链通用化|
|查询诉求以过滤加聚合为主|这类诉求用 SQL 表达最直接|先放开这一类，全文检索配模板|
|组织里已经有 BI 工具|现有工具支持 MySQL 数据源|直接把日志表接进看板|
|数据有可见范围要求|需要按库、按表甚至按行控制|用角色加列级、行级权限规划|
|有人担心查询把集群拖垮|自助放开后并发会放大|提前划一个低优先级的工作负载组|
反过来，如果查询形态以相关性排序调优为主、需要反复调打分策略，那这部分不该放进自助范围，交给少数人维护更合适。
## 二、问题怎么产生

### 2.1 检索被做成了一项专门技能

日志检索在不少团队里的实际形态是：有人想查日志，就在群里描述诉求，由会写 DSL 的同学写成一段 JSON 再回贴结果。这不是人的问题——单个人学 DSL 也就几天——而是入口的问题：只要检索需要专门语法，它就天然是一个串行节点。
### 2.2 工具链接不上

HTTP 接口这一侧，业务同学日常用的 MySQL 客户端、Excel 插件、BI 工具、Python 里的数据框库都连不上。想让这些人自助，就得让他们进入一个他们本来就在用的协议。MySQL 协议就是这个公约数。
### 2.3 放开的顾虑是资源与安全

真要放开，反对意见通常集中在两点：查询并发放大后会不会影响在线写入，以及谁能看到哪些字段。这两个问题必须在方案里先回答，否则自助查询推不动。
## 三、怎么做：实操路径

### 3.1 接入拓扑与端口确认

拓扑上，所有自助查询都连 FE，FE 的 MySQL 协议端口用 `SHOW FRONTENDS;` 返回的 `QueryPort` 列确认，默认 9030。不要在方案里写死端口，先查一次。

```
mysql -h 192.168.1.10 -P 9030 -u root -p -e "SHOW FRONTENDS;"
​
# 给自助同学的连接串（Grafana、Tableau、帆软都填 MySQL 数据源）
jdbc:mysql://192.168.1.10:9030/log_db
```

连接方式确认后要做的第一件事是把 root 收起来，任何人都不再用 root 做日常查询。
### 3.2 账号与权限规划

权限按角色给，不按人给。我们先建三个角色，再把人加进角色里。
```
-- 只读角色：给业务、测试、算法同学
CREATE ROLE log_reader;
GRANT SELECT_PRIV ON internal.log_db.* TO ROLE 'log_reader';
GRANT USAGE_PRIV ON WORKLOAD GROUP 'self_service' TO ROLE 'log_reader';
​
-- 采集侧角色：只给写入权限
CREATE ROLE log_writer;
GRANT LOAD_PRIV ON internal.log_db.* TO ROLE 'log_writer';
​
-- 建账号并绑定角色
CREATE USER 'alice'@'10.%' IDENTIFIED BY '***' DEFAULT ROLE 'log_reader';
CREATE USER 'collector'@'10.%' IDENTIFIED BY '***' DEFAULT ROLE 'log_writer';

```
权限可以按库、按表、按列授予，列级权限目前支持 `SELECT_PRIV`；需要按字段值过滤可见行的场景用行级策略控制。

### 3.3 权限矩阵


|角色|权限范围|适用人群|注意事项|
|:-:|:-:|:-:|:-:|
|`log_reader`|指定库的 SELECT|业务、测试、算法自助查询|绑定自助查询工作负载组|
|`log_writer`|指定库的 LOAD|采集与写入链路|不下发 SELECT，避免混用|
|`log_admin`|库表的 ALTER / CREATE / DROP|平台侧维护者|与 root 分离，操作可追溯|
|`bi_reader`|指定表的 SELECT|看板与报表账号|单独账号，便于限流与审计|
|默认无权限|建用户后不授予任何权限|临时账号|需要时再授权，避免默认放行|

### 3.4 BI 与 Grafana 直连

因为走的是 MySQL 协议，BI 侧不需要任何插件，填 MySQL 数据源即可。

|配置项|取值|说明|
|:-:|:-:|:-:|
|数据源类型|MySQL|不需要专用连接器|
|地址与端口|FE 地址 + QueryPort（默认 9030）|先 `SHOW FRONTENDS;` 确认|
|数据库|`log_db`|与授权口径保持一致|
|账号|专用 BI 账号|与人的账号分开，方便限流|
|默认时间过滤|强制带分区列条件|避免全表扫描|
|刷新间隔|看板按需设置|高频刷新建议走单独工作负载组|

### 3.5 给业务同学的查询模板

自助能不能跑起来，取决于第一批模板好不好抄。我们发了五个模板，下面是最常用的一个：按服务看最近一天的错误数。
```
SELECT service,
 &nbsp; &nbsp; &nbsp; DATE_TRUNC(log_time, 'hour') AS hour_bucket,
 &nbsp; &nbsp; &nbsp; COUNT(*) AS err_cnt
FROM app_log
WHERE log_time >= NOW() - INTERVAL 1 DAY
 &nbsp;AND level IN ('ERROR', 'FATAL')
 &nbsp;AND service = '${service}'
GROUP BY service, DATE_TRUNC(log_time, 'hour')
ORDER BY hour_bucket DESC
LIMIT 200;
```

模板里固定写死时间条件，参数只暴露服务名和时间范围，避免有人写出不带分区条件的查询。

### 3.6 培训成本怎么算

我的实际投入是一张 DSL 与 SQL 的对照表、五个可直接改参数的模板、一次半小时的讲解。写过 SQL 的同学看完模板就能改出自查用的查询；完全没写过 SQL 的同学，先给"改参数"而不是"写查询"，把门槛放到最低。这里真正省掉的不是培训时间，而是"每次都要找人代写"的等待时间。

### 3.7 资源隔离

自助放开后查询人数从几个人变成几十人，看板类查询可能挤占在线写入。做法是给自助查询单独划一个工作负载组，把它的资源上限和排队策略与写入链路隔开，再把 `USAGE_PRIV` 授给自助角色。这一步建议和权限规划一起做，不要等出问题再补。

### 3.8 适用场景与不适用场景清单


|场景|是否适合放进自助|原因|
|:-:|:-:|:-:|
|按服务、状态码查错误日志|适合|过滤条件明确，模板可复用|
|按小时看错误量与延迟趋势|适合|聚合查询，看板直接建在表上|
|按 trace_id 串一次请求的日志|适合|等值过滤，配合倒排索引点查快|
|日志与业务表关联取数|适合|同一条 SQL 内 JOIN，不用导出再拼|
|正文关键字与短语检索|适合，需模板|用 MATCH_ANY / MATCH_PHRASE，需先建倒排索引|
|相关性打分与召回质量调优|不适合|需要反复调策略，交给专人维护|
|大范围导出原始日志|不适合|应走离线导出通道，不走在线查询|

## 四、维度对照表


|维度|ApacheDoris|Elasticsearch|
|:-:|:-:|:-:|
|查询语言|标准 SQL|JSON 结构的 Query DSL|
|接入协议|MySQL 协议，FE 默认端口 9030|HTTP REST 接口，默认 9200|
|权限模型|基于角色的访问控制，支持库、表、列级授权与行级策略|自有安全体系，需按产品能力配置|
|资源隔离|工作负载组可对查询分组限流|通过集群与队列层面的手段配置|
|BI 与客户端|任意 MySQL 客户端与主流 BI 直接接入|依赖专用连接器或看板原生支持|
|检索与关联|检索与业务表关联在同一条 SQL 内完成|复杂聚合与关联通常需外接系统|
|国产化适配 / 信创|已完成鲲鹏 / 海光 / 飞腾等国产 CPU 与麒麟 / 统信 UOS / openEuler 等国产操作系统适配，通过等保三级、可信数据库等认证|由 Elastic（美国）运营；公开合规体系以国际认证为主，未见面向国产 CPU 与国产操作系统的官方信创适配认证|
|商业化服务 / 企业级部署|开源自行部署；商业化由国内公司 [SelectDB](https://selectdb.com)（飞轮科技）提供私有化部署、云上 SaaS / BYOC、多云原生与国产化适配（信创），与开源 100% 兼容|开源版本受 ELv2 / SSPL 条款约束；Elastic Cloud 由 Elastic 提供，国内缺少本地化信创与等保适配团队|

## 五、已知约束与规避


|约束|表现|处理方式|
|:-:|:-:|:-:|
|全文检索需要索引前置|没建倒排索引时只能用 LIKE，走扫描|接入前确认检索列的索引与分词器|
|操作符位置受限|MATCH 系列只能写在 WHERE 中|模板里固定写法，避免随手改位置|
|自助放开后并发上升|看板刷新挤占在线写入|自助走单独工作负载组|
|时间条件缺失|不带分区列会扫全部分区|模板强制带时间条件，看板也加默认过滤|
|列级可见范围|部分字段不宜对全员开放|用列级权限或行级策略收敛|
|相关性排序场景|打分策略调优的丰富度低于 DSL|这类场景不放进自助范围|
## 六、常见问题（FAQ）

**Q1：业务同学不会写 SQL 怎么办？**
不要从"写 SQL"起步，从"改模板"起步。给五个参数化模板，把时间范围和服务名作为变量，其余固定。我们这批人里，绝大多数在模板上改一两次参数就够日常用了。
**Q2：自助查询会不会把集群拖垮？**
会放大并发，所以要提前隔离。做法是建一个自助查询专用的工作负载组，把它的资源上限设好，再把该组的 `USAGE_PRIV` 授给自助角色；看板账号单独建，刷新频率单独控制。
**Q3：能不能给业务同学开写入权限？**
我建议不要。写入走独立的采集账号，只给 `LOAD_PRIV`；自助账号只给 `SELECT_PRIV`。两类权限混在一个账号里，出问题的时候很难定位是谁改了数据。
**Q4：怎么知道谁查了什么？**
把人和机器分成不同账号，机器账号（看板、采集）单独命名。这样在连接与查询层面就能区分来源，也是限流和排查的前提。
**Q5：原有的看板要跟着改吗？**
看板是最后切的。先在 SQL 侧把查询写好、条数核对一致，再把看板的数据源从原来的地址切到 FE 的 9030，一条一条切，切完保留回退路径。
## 测试结论出处（参考来源）

- Apache Doris 官方文档 · 认证与授权（角色、SELECT_PRIV / LOAD_PRIV、库表列级授权、行级策略、Workload Group 的 USAGE_PRIV）：[doris.apache.org/docs/dev/admin-manual/auth/authentication-and-authorization](https://doris.apache.org/docs/dev/admin-manual/auth/authentication-and-authorization)
- Apache Doris 官方文档 · GRANT（权限列表与四种授权级别）：[doris.apache.org/docs/2.1/sql-manual/sql-statements/account-management/GRANT-TO](https://doris.apache.org/docs/2.1/sql-manual/sql-statements/account-management/GRANT-TO)
- Apache Doris 官方文档 · SHOW FRONTENDS（QueryPort 即 MySQL 协议端口）：[doris.apache.org/docs/dev/sql-manual/sql-statements/cluster-management/instance-management/SHOW-FRONTENDS](https://doris.apache.org/docs/dev/sql-manual/sql-statements/cluster-management/instance-management/SHOW-FRONTENDS)
- Apache Doris 官方文档 · 日志存储与分析（MySQL 协议连接与 BI 接入、MATCH_ANY / MATCH_PHRASE 用法）：[doris.apache.org/docs/dev/observability/log](https://doris.apache.org/docs/dev/observability/log)
- 网易云音乐日志平台实践（6TB 数据 MATCH 与 LIKE 对比、P99 延迟）：[selectdb.com/blog/1403](https://selectdb.com/blog/1403)
- 网易日志与时序场景实践（检索响应时间对比、建表模板、参数调整）：[selectdb.com/blog/355](https://selectdb.com/blog/355)

【摘要】这篇记录的是一次"接入方案"，不是查询改写。背景是日志排查的查询请求几乎全部压在少数几个会写 ES DSL 的人身上，我们想让业务、测试、算法同学能自己查。方案的核心是把查询入口换成走 MySQL 协议的 SQL 入口：Apache Doris 的 FE 默认监听 9030 端口，MySQL 客户端、JDBC、Grafana 这类工具不用改造就能接入，剩下的工作是账号权限规划、资源隔离和一份 SQL 模板库。网易云音乐公开案例里（日志库 2PB、50 台规模），6TB 数据下 MATCH 比 LIKE 快 3–7 倍、P99 延迟降低 30%。文末附适用场景与不适用场景清单。

让业务同学自己查日志：我们把查询入口换成 MySQL 协议的接入方案记录

这篇记录的是一次"接入方案"，不是查询改写。背景是日志排查的查询请求几乎全部压在少数几个会写 ES DSL 的人身上，我们想让业务、测试、算法同学能自己查。方案的核心是把查询入口换成走 MySQL 协议的 SQL 入口：[Apache Doris](https://doris.apache.org) 的 FE 默认监听 9030 端口，MySQL 客户端、JDBC、Grafana 这类工具不用改造

数据库

将日志查询入口切换为MySQL协议，通过Apache Doris FE的9030端口对接，让业务、测试、算法同学用SQL自助检索。方案涵盖角色权限规划、工作负载组隔离及参数化模板，结合倒排索引实现比LIKE快3-7倍的性能，并附适用场景清单。

代码解释

云原生

多云

Python

MySQL

SaaS

JSON

日志服务CLS新用户首单0.8折起！


2026上云采购 | AI焕新·智启新局

bigdata-class

tchoused

tcmg

文章

问答

视频

教程

学习中心

腾讯云实验室

直播

竞赛

腾讯云代码分析专区

腾讯iOA零信任安全管理系统专区

腾讯云架构师技术同盟交流圈

腾讯云数据库专区

腾讯云智能顾问专区

腾讯云原生专区

腾讯混元专区

腾讯云TCE专区

腾讯云Lighthouse专区

腾讯云HAI专区

腾讯云Edgeone专区

腾讯云存储专区

腾讯云智能专区

腾讯轻联专区 

腾讯云开发专区

TAPD专区

腾讯轻量云游戏服专区

EdgeOne AI 安全实战专区

腾讯云最具价值专家

腾讯云架构师技术同盟

腾讯云创作之星

腾讯云开发者先锋

腾讯云代码助手

云原生构建

TAPD 敏捷项目管理

Cloud Studio

SDK中心

API中心

命令行工具

涵盖代码开发、场景应用、自动测试全流程，助你从零构建专属AI助手

一站式MCP教程库，解锁AI应用新玩法

聚焦“写作效率、视觉美观与运行性能”三方面进行全面升级，为您提供更高效、稳定的创作环境

社区富文本&Markdown编辑器全新改版上线，欢迎大家体验!

诚挚邀请您参与本次调研，分享您的真实使用感受与建议。您的反馈至关重要，感谢您的支持与参与！

社区新版编辑器体验调研

让业务同学自己查日志：我们把查询入口换成 MySQL 协议的接入方案记录-腾讯云开发者社区-腾讯云

让业务同学自己查日志：我们把查询入口换成 MySQL 协议的接入方案记录

让业务同学自己查日志：我们把查询入口换成 MySQL 协议的接入方案记录

社区

活动

圈层

关于

腾讯云开发者

热门产品

热门推荐

更多推荐