Linux下实时监控日志最常用方法是tail -f命令，支持基础追踪、-F应对轮转、结合grep/awk增强可读性，并可用multitail、lnav、journalctl -f等工具替代，生产中需注意权限、I/O与日志收集方式。
Linux下实时监控日志最常用、最直接的方法是使用 tail -f 命令，它能持续输出文件末尾新增内容，适合绝大多数动态追踪场景。
基础实时追踪：tail -f 最简用法
只需一条命令即可开始监控：
- tail -f /var/log/syslog —— 实时查看系统日志（Ubuntu/Debian）
- tail -f /var/log/messages —— 查看系统日志（CentOS/RHEL）
- tail -f /var/log/nginx/access.log —— 追踪 Web 访问日志
按 Ctrl+C 可随时退出。若日志被轮转（如 logrotate），-f 默认会停止跟踪；此时可改用 -F（大写 F），它具备“重打开”能力，自动适配新生成的日志文件。
增强可读性与实用性技巧
单纯滚动文本容易遗漏关键信息，可结合以下方式提升效率：
-
高亮关键词：用 grep --line-buffered 配合 tail，例如：
tail -f /var/log/auth.log | grep --line-buffered "Failed password" -
显示行号与时间戳：加 -n 20 显示最近20行，再用 awk 添加时间：
tail -f -n 20 /var/log/secure | awk '{print strftime("%H:%M:%S"), $0}' - 多文件同时监控：用 tail -f file1 file2，每行开头会标注来源文件名。
替代工具：当 tail 不够用时
面对复杂需求，可选用更专业的工具：
- multitail：支持分屏、颜色标记、过滤、合并多个日志流，安装后直接运行 multitail /var/log/syslog 即可交互式操作。
- lnav：专为日志设计，自动识别格式（Apache、Nginx、JSON等），支持搜索、SQL 查询、时间轴导航。
- journalctl -f：适用于 systemd 系统，实时查看所有服务日志，支持按服务（-u nginx）、优先级（-p err）、时间范围等筛选。
生产环境注意事项
线上日志量大、权限敏感，需注意：
- 避免用 root 长期运行 tail；可将用户加入 syslog 或 adm 组获取读取权限。
- 不要直接 tail 应用的标准输出日志（如 Docker 容器 stdout），应通过 docker logs -f 或日志驱动统一收集。
- 高频写入日志可能影响磁盘 I/O，实时监控时尽量避免 tail -f + grep 在大文件上无过滤全扫，优先用应用层日志级别控制或前置过滤。
