正则表达式解析日志需先明确结构再设计分组模式，针对Logback、方括号格式、空格分隔等典型日志提供命名捕获组模板，并强调strip预处理、异常行跳过、多行合并及regex101调试等实用要点。
正则表达式是解析日志最常用、最灵活的手段之一，关键在于根据日志格式设计能准确捕获“级别”“时间”“内容”三部分的分组模式。下面以几种典型日志格式为例，给出可直接使用的正则方案和实用建议。
明确日志结构，再写正则
不同系统日志格式差异大，不能套用同一正则。先人工观察几行原始日志，确认字段分隔方式（空格、方括号、竖线、制表符等）和固定前缀（如INFO、[2024-03-15 10:22:31]）。例如：
-
Nginx访问日志：
192.168.1.1 - - [15/Mar/2024:10:22:31 +0800] "GET /api/user HTTP/1.1" 200 1234→ 没有显式“级别”，但有状态码；时间在方括号内 -
Java Logback日志：
2024-03-15 10:22:31.123 [main] INFO c.m.App - User login succeeded→ 级别（INFO）、时间（带毫秒）、内容（破折号后）清晰分隔 -
自定义服务日志：
[ERROR][2024-03-15T10:22:31Z] Failed to connect to DB→ 级别和时间都在方括号中，用中括号分隔
推荐正则模板（含命名捕获组）
使用命名捕获组（(?P<name>...)</name>）让代码更易读、提取更可靠。以下为通用性强、兼顾可读与健壮性的写法：
-
Logback/SLF4J 类格式：
^(?P<time>\d{4}-\d{2}-\d{2}\s+\d{2}:\d{2}:\d{2}(?:\.\d{3})?)\s+\[[^\]]+\]\s+(?P<level>\w+)\s+[^-]*-\s+(?P<content>.*)$</content></level></time> -
方括号包裹级别+时间格式：
^\[(?P<level>\w+)\]\[(?P<time>\d{4}-\d{2}-\d{2}T\d{2}:\d{2}:\d{2}Z)\]\s+(?P<content>.*)$</content></time></level> -
空格分隔、时间在第2–4列的简单格式：
^(?P<level>\w+)\s+(?P<time>\d{4}-\d{2}-\d{2}\s+\d{2}:\d{2}:\d{2})\s+(?P<content>.+)$</content></time></level>（需确保内容不含开头空格）
实际使用要点（Python 示例）
用re.match或re.search配合.groupdict()提取字段，比按索引取更安全：
import re
<p>pattern = r'^(?P<time>\d{4}-\d{2}-\d{2}\s+\d{2}:\d{2}:\d{2})\s+(?P<level>\w+)\s+-\s+(?P<content>.*)$'
with open('app.log') as f:
for line in f:
m = re.match(pattern, line.strip())
if m:
fields = m.groupdict()
print(f"[{fields['level']}] {fields['time']} → {fields['content'][:50]}...")
- 务必用
line.strip()去除换行和首尾空格，避免匹配失败 - 对不匹配的行（如空行、堆栈跟踪首行）加
if m:跳过，防止AttributeError - 若日志含多行消息（如异常堆栈），需先合并行，再统一匹配 —— 正则本身不适合跨行解析
调试与验证技巧
正则易写难调，推荐以下方法快速定位问题：
- 用在线工具（如 regex101.com）粘贴真实日志样本，实时查看分组结果和匹配过程
- 先写最小可匹配片段（如只匹配时间
\d{4}-\d{2}-\d{2}），再逐步扩展，每次加一部分就测试 - 对模糊字符（如空格数不确定）用
\s+而非固定空格；对可选部分（毫秒、时区）用(?:...)? - 避免过度贪婪：
.*放在末尾没问题，但在中间可能吞掉本该属于其他字段的内容，优先用[^]]*这类否定字符类
