通过可疑用户、故障服务、嵌套集合和多索引示例，理解 Elasticsearch 9.5 技术预览中的 WHERE IN 子查询，以及单列、类型和排序限制。

以员工与部门数据为例，完整解释 ES|QL LOOKUP JOIN 的左连接语义、单主分片约束、协调节点与数据节点的分工，以及延迟加载字段的执行思路，并区分 8.18 技术预览与后续语法变化。