Kibana：Dev Tools、KQL、Dashboard 与 ES|QL

这一课你将能做到

1. 用 Docker 启动 Kibana 并连上 ES，在 Dev Tools Console 里交互式执行 DSL
2. 用 KQL 在 Discover 里快速筛题，并说出 KQL 与 Lucene 语法的定位差异
3. 用 Lens 拖拽出题库运营看板，并写出第一条 ES|QL 查询

为什么要学

curl 适合脚本和复现，但日常探索数据、调 DSL、做图表，没有人愿意一直在命令行敲转义 JSON。Kibana 是 ES 官方的可视化控制台：自动补全、格式化、历史记录、一键看结果；运营看板（每课程题量、难度分布、更新趋势）拖拽就能做，不需要前端排期。面试中「你们搜索怎么调试、报表怎么做」的答案里，Kibana 是标准组件。

人话：Kibana 就是 ES 的「Navicat + BI 报表」合体。Dev Tools 是开发者的主战场，Discover 是查数据的检索页，Dashboard 是给业务看的大屏，ES|QL 是 8.x 新推出的类 SQL 管道语言，让不习惯 JSON DSL 的人也能查数据。

先建立图像

Kibana 核心界面地图：

Dev Tools → Console        写 DSL，自动补全/复制为 curl，开发者天天用
Discover                  选数据视图(data view)，KQL 检索，看文档明细
Dashboard                 放图表、过滤器，运营看板
Lens                      拖拽字段自动推荐图表，最简单的建图方式
Stack Management          数据视图、索引管理、用户角色、告警规则

三种查询语言定位：

语言	风格	场景
KQL（Kibana Query Language）	字段:值 + and/or	Discover/过滤器，只用于 Kibana
Lucene 语法	field:value、~ 模糊	老版本默认、部分 UI 兼容
Query DSL	JSON	完整能力，API 和应用代码
ES	QL	FROM...
EQL	事件序列语句	安全领域的事件关联（如进程链）

跟着做

步骤 1：启动 Kibana

docker run -d --name kibana --net es-net -p 5601:5601 \
  -e "ELASTICSEARCH_HOSTS=http://es01:9200" \
  -e "KIBANA_SYSTEM_PASSWORD=abcd1234" \
  docker.elastic.co/kibana/kibana:8.11.0

说明：Kibana 与 es01 在同一 Docker 网络，用容器名访问 ES；我们在 ES 端关了 HTTP SSL，所以 hosts 用 http；KIBANA_SYSTEM_PASSWORD 是内置 kibana_system 服务账号的密码（与 ES 启动时的密码保持一致，8.11 起支持该环境变量自动引导）。浏览器打开 http://localhost:5601，用 elastic / abcd1234 登录。

若启动报服务账号未就绪，可手动执行：

docker exec es01 bin/elasticsearch-reset-password -u kibana_system -i -b

步骤 2：Dev Tools Console 执行 DSL

左侧菜单 → Management → Dev Tools。在 Console 输入：

GET _cluster/health

GET questions/_search
{
  "query": {
    "bool": {
      "must": [{ "match": { "stem": "事务" } }],
      "filter": [
        { "term": { "courseId": "C_JAVA" } },
        { "range": { "difficulty": { "gte": 3 } } }
      ]
    }
  }
}