最实用的日志查看组合是 tail -f 实时盯屏 + less + G 快速回溯 + grep 定向过滤，覆盖95%日常排查场景：tail -f 低内存监听末尾、less 支持安全导航与搜索、grep 精准定位关键词并保留上下文。
Linux 查看日志文件，别一上来就 cat 全量加载——大日志直接卡死终端，小日志也浪费时间。最实用的组合是 tail -f 实时盯屏 + less + G 快速回溯 + grep 定向过滤，三者配合覆盖 95% 的日常排查场景。
用 tail -f 实时跟踪新日志输出
服务正在运行、错误刚发生时，这是第一反应命令。它不读全文件，只持续监听末尾追加内容，内存占用极低。
-
tail -f /var/log/syslog：默认显示最后 10 行，并持续刷新 - 加
-n 50可指定起始行数：tail -n 50 -f /var/log/nginx/error.log，避免错过最近关键上下文 - 按
Ctrl+C退出；误输成tail -F（大写 F）也能用，它还支持文件轮转后自动重开新文件（比如 logrotate 触发后） - 常见坑：
tail -f在 ssh 断连后会中断，且无法向上翻页——它不是查看器，只是“流式监听器”
用 less 安全打开大日志并自由导航
比 cat 和 more 更适合日志：不一次性加载全文到内存，支持搜索、跳行、反向查找，还能用 G（跳末尾）、g（跳开头）、/error（正向搜）、?WARN（反向搜）。
- 直接运行
less /var/log/auth.log，进入后按G立即定位到最后，再按k向上逐行看——比tail更可控 - 搜索时注意大小写：
/Connection refused区分大小写，加-i参数启动时忽略：less -i /var/log/apache2/access.log - 退出按
q；误按了v进入编辑模式？别慌，直接q仍可退出（less不真编辑文件） - 性能提示：对几百 MB 日志，
less启动快、响应稳；cat加管道进grep虽然常用，但会先读完整个文件，IO 压力大
用 grep 配合 tail 或 less 快速定位关键词
单独 grep error /var/log/messages 会输出所有匹配行，但丢失上下文和时间顺序感；更有效的做法是“限定范围 + 关键词过滤”。
- 查最近 200 行里的异常：
tail -n 200 /var/log/messages | grep -i "segmentation\|panic" - 想看某次请求的完整链路？先用
less搜到一个 request_id，再复制出来，执行：grep -A 3 -B 2 "req-abc123" /var/log/app.log（-A 3显示后 3 行，-B 2显示前 2 行） - 注意正则陷阱：
grep "2024-04-01 14:"中冒号在某些 shell 下需转义，稳妥写法是加单引号：grep '2024-04-01 14:' - 避免漏掉多行错误：Java 异常栈通常跨行，
grep -A 5 "Exception"比单纯搜Exception更可靠
cat 只适合小文件或拼接场景，慎用于日志
cat 的本质是 concatenate（拼接），不是 viewer。它把文件内容原样刷到 stdout，对日志而言只有两个合理用途：一是看几行纯文本配置类日志（如 /var/log/alternatives.log），二是配合重定向或管道做后续处理。
- 错误用法：
cat /var/log/journal/*—— systemd journal 二进制日志不能这样读，会输出乱码甚至卡死 - 正确替代：
journalctl -u nginx.service -n 50查服务最近 50 行；journalctl --since "2 hours ago"按时间查 - 真正需要
cat的时候：合并多个小日志片段分析，例如cat app.log.1 app.log.2 | grep "timeout" - 安全习惯：不确定文件大小前，先
wc -l或ls -lh看一眼；cat big.log | head -20看开头比直接cat安全得多
真正容易被忽略的是日志路径权限和轮转机制：/var/log/ 下很多文件属主是 root:syslog，普通用户用 tail -f 可能报 Permission denied；这时不要急着加 sudo，先确认是否该服务日志已配置 rsyslog 转发到用户可读位置，或者用 journalctl --user 查用户级服务。轮转后的旧日志（如 messages.1.gz）必须用 zcat 或 zless，不是 cat。
