匹配结果为空因正则未锚定位置、未处理可选字段及空格差异；应使用非贪婪模式、re.VERBOSE多行编写、re.compile预编译，并先用re.search测试单行。
用 re 提取关键字段时，为什么匹配结果为空？
多数日志是半结构化文本（如 "2024-05-12 10:23:45 INFO User login: alice [ip=192.168.1.5]"），直接用 split() 或 str.find() 极易断裂。正则必须锚定位置、处理可选字段、容忍空格差异。
- 常见错误：写
r"INFO (.*)"—— 一旦日志含换行或嵌套括号就失效；应改用非贪婪r"INFO\s+(?P<msg>[^[]*)\s*(?:\[ip=(?P<ip>[^\]]*)\])?"</ip></msg> - 务必加
re.VERBOSE模式写多行正则，方便调试和维护 - 用
re.compile()预编译，避免在循环中重复解析（尤其处理 GB 级日志） - 先用
re.search()测试单行，再用re.findall()或re.finditer()批量提取
用 pandas.read_csv() 读取日志时，列错位或解析失败怎么办？
当日志有固定分隔符（如空格、竖线、制表符）且字段无嵌套时，pandas 是最快方案，但默认参数极易出错。
- 不要依赖
sep=None自动推断——它常把带空格的 message 当成多个列；显式指定sep=r"\s+\|\s+" | "\t" | " - " - 用
engine="python"支持复杂正则分隔符（sep传正则字符串），但性能比c引擎慢 3–5 倍 -
names参数必须显式传列名列表，否则首行被误作 header；若日志无 header，设header=None - 对时间字段，立即用
parse_dates=["timestamp"]，避免后续转pd.to_datetime()报错
如何让 logging 模块输出的 JSON 日志直接入库？
如果日志本身是 JSON 格式（如 {"level": "ERROR", "ts": "2024-05-12T10:23:45Z", "msg": "DB timeout", "trace_id": "abc123"}），别再用正则硬啃，走标准解析路径更稳。
- 逐行读取，用
json.loads(line.strip())解析；注意捕获json.JSONDecodeError过滤脏行 - 用
pd.json_normalize()处理嵌套字段（如"context.user.id"→ 自动展开为context.user.id列） - 避免一次性
json.load(f)—— 日志文件不是合法 JSON 数组，而是每行一个 JSON 对象（JSON Lines 格式） - 写入 CSV/Excel 前，用
df.astype({"level": "category", "trace_id": "string"})控制内存占用
导出报表时，时间聚合和异常统计总漏掉边缘 case
结构化之后的统计看似简单，但日志时间戳常含时区、毫秒、缺失字段，直接 groupby().size() 会丢数据。
立即学习“Python免费学习笔记（深入）”；
- 统一时区：用
df["ts"].dt.tz_localize("UTC").dt.tz_convert("Asia/Shanghai")，别信日志里写的 "CST" - 按小时聚合前，先用
df["ts"].dt.floor("H")向下取整，避免跨天边界计算错误 - 统计 ERROR 数量时，加
df["level"].str.upper().isin(["ERROR", "CRITICAL"])，兼容大小写混用日志 - 导出 Excel 时，用
to_excel(..., engine="openpyxl")并设index=False，否则第一列多出无意义行号
真正麻烦的从来不是解析语法，而是日志源头不一致：同一服务不同版本输出格式微调、运维手动插入调试行、网络截断导致 JSON 不完整。建议先抽样 1000 行做 schema 推断，再写校验逻辑，而不是一上来就跑全量。
