结论：用 awk 提取日志指定列，关键不是“怎么写”，而是“分隔符对不对”“字段有没有越界”“条件和打印是否绑在同一规则里”。错一个，就空、乱、漏。
直接说结论：用 awk 提取日志指定列，关键不是“怎么写”，而是“分隔符对不对”“字段有没有越界”“条件和打印是否绑在同一规则里”。错一个，就空、乱、漏。
为什么 awk '{print $5}' access.log 输出全是空？
因为日志不是按空格整齐切分的。比如 Nginx 默认日志：
192.168.1.1 - - [24/Apr/2026:08:00:01 +0000] "GET /api/v1/users HTTP/1.1" 200 1234 "-" "curl/7.68.0"
这里 $5 是 [24/Apr/2026:08:00:01（左括号开头），$6 是 +0000]，根本不是你想要的时间戳主体。
- 先用
cat -A access.log | head -1看真实分隔符：空格、中括号、引号都可能是“视觉分隔符”，但awk只认FS指定的字符 - 用
awk '{print NF, $0}' access.log | head -5检查每行字段数是否稳定；如果NF波动大，说明有字段含空格（如 user-agent） - 别硬猜，用正则分隔更稳：
awk -F'\[|\]|" "' '{print $2, $4}' access.log—— 这里用-F'\[|\]|" "'把中括号和引号空格都当分隔符，$2就是时间字符串，$4是请求行
提取带空格字段（如 User-Agent）该用 match() 还是 substr()？
都不如用 FPAT（GNU awk 特性）。默认 FS 切分会导致 user-agent 被截断，而 FPAT 定义“什么是字段”，而不是“用什么切”：
Zynq‑7000 / Zynq UltraScale+ 硬件调试技能。适用于 Xilinx Zynq（Cortex‑A9/A53 + FPGA）Linux 环境，调试 I2C、I2S、UART、GPIO 等外设。包括设备树配置、内核驱动、用户空间调试工具、交叉编译和常见问题排查，支持 PetaLinux 开发。
awk 'BEGIN{FPAT="([^[:space:]"()]*)|("[^"]+")"} {print $NF}' access.log这段把带引号的整个 UA 当作一个字段（"curl/7.68.0"），$NF 就是它。注意：FPAT 在 macOS 的 awk（BSD 版）不支持，得换 gawk。
- 如果只能用 POSIX awk，改用
match()定位起始位置：match($0, /"([^"]+)"/) {print substr($0, RSTART+1, RLENGTH-2)} -
substr()本身不解析结构，纯靠偏移；一旦日志格式微调（比如多加一个字段），偏移就全错 - 永远优先验证：
echo '..."Mozilla/5.0..."...' | awk '...' | head -1，别等跑完百万行才发现字段偏了
想按状态码筛选再取响应体大小，为什么管道写法会丢数据？
写成 awk '$9 == 200' access.log | awk '{print $10}' 看似合理，但第二道 awk 会重新用空格切分——而原始第 10 字段可能含空格（比如被压缩的响应头），导致 $10 实际是错的。
- 必须在单条
awk中完成：awk '$9 == 200 {print $10}' access.log - 数字比较不用引号，字符串要：
$9 == 200对，$6 ~ /^GET/对，但$9 == "200"在某些老版本会类型转换失败 - 如果字段是
-（表示缺失），$10 == "-"才能匹配，不能写成!$10（空字符串和-不同） - 性能上，单次扫描比两次管道快 3–5 倍，尤其 SSD 都救不了重复读盘
输出多列时字段粘连或顺序错乱？
print $2 $5 会连在一起（如 userGET），print $2, $5 才用空格分隔。但这空格不是原始日志里的，是 OFS 控制的，默认单空格。
- 要保留原始缩进或对齐，用
printf：awk '{printf "%-15s %s ", $1, $9}' access.log - 导出 CSV？显式设
OFS：awk -F' ' 'BEGIN{OFS=","} $9==200 {print $1,$4,$9,$10}' access.log - 别省略
BEGIN{OFS=...}—— 放在 action 里（如{OFS=","; print ...}）无效，OFS必须在记录处理前生效 - 最易忽略的一点：
print自动换行，printf不自动；漏了
真正难的不是语法，是看懂日志的“物理结构”：哪些字符是分隔符，哪些是字段内容，哪些是干扰噪声。每次换一种日志格式，都得重走一遍 cat -A → NF 检查 → FPAT 或正则分隔 → 单规则条件+打印 这四步，跳不过。
