Sublime无法实时过滤日志，但可快速提取静态日志中的ERROR行；需启用正则、忽略大小写，并用\b(ERROR|WARN|CRITICAL)\b等精确表达式匹配，配合Alt+Enter查找全部，再清理前缀和空行。
Sublime 本身不能实时过滤日志，但能快速提取静态日志中所有 ERROR 行——前提是日志已落盘、文件可打开、你不需要“流式响应”。
为什么 Ctrl+F 找不到 ERROR？常见匹配失败原因
很多人输完 ERROR 按回车没反应，不是 Sublime 坏了，而是默认搜索模式不匹配：
- 没点搜索框右下角的
.*图标 → 正则未启用，ERROR被当字面量，但日志里可能是[ERROR]或error（大小写不一致） - 勾了
Match Case却搜ERROR，而实际日志写的是error或Error - 用了
^ERROR$这种严格锚定，但真实日志是2026-06-10 14:22:03,456 [ERROR] io.netty.channel.DefaultChannelPipeline - An exceptionCaught() event was fired，ERROR根本不在行首
真正能一次抓全 ERROR 行的正则写法
别用模糊猜测，直接复制粘贴这些经过验证的表达式（全部需勾选 .* 和取消 Match Case）：
-
\b(ERROR|WARN|CRITICAL)\b——\b防止匹配到ERROR_LOG或MYERROR，只认独立单词 -
\[.*?(ERROR|WARN|FATAL).*?\]—— 匹配形如[ERROR]、[ WARN ]这类带方括号的格式 -
^\d{4}-\d{2}-\d{2}.*?\b(ERROR|WARN)\b—— 如果日志有标准时间前缀（如2026-06-10 14:22:03），加^锚定开头，避免误中 JSON 字段里的"level": "ERROR"
输完按 Alt+Enter（Windows/Linux）或 Cmd+Enter（macOS）执行“Find All”，所有匹配行会高亮并自动选中。
提取纯文本结果：删掉路径和行号前缀
如果用 Ctrl+Shift+F（Find in Files）搜完整项目，结果页会带 file.log:123: 前缀。要拿干净内容：
- 在结果页右键 →
Copy All - 新建标签页，
Paste - 按
Ctrl+H（替换），查找：^[^:\n]+:\d+:，替换为空 → 这能批量删掉所有xxx.log:123:前缀 - 再查
^\s*$（空行），替换为空，收尾干净
注意：Find in Files 的 Where 必须明确指定范围，留空=只搜当前文件；想搜整个目录，填 ./ 或具体路径，否则你以为扫了全量，其实只扫了一行。
别把 Sublime 当采集器用：ERROR 提取只是故障响应的第一步
线上系统出问题时，你看到的 ERROR 日志已经是结果。真正卡点在于：
- 日志是否还在写入？
tail -f /var/log/app/error.log看最新行，Sublime 打开的是快照，不是活数据 - ERROR 是否连续发生？单条
Connection refused可能是瞬时抖动，10 秒内 50 条才是真异常——这得靠外部脚本聚合统计，Sublime 不存状态、不计时间 - ERROR 上下文在哪？堆栈可能跨 20 行，Sublime 默认不展开多行匹配；要用
^(.*?Exception.*?)(\n.*?){0,15}这类带行数限制的正则，否则容易卡死
最后提醒一句：如果你正在写的是一份“线上故障 SOP”，里面写“打开 Sublime → Ctrl+F → 输入 ERROR”，那它大概率会在凌晨三点失效——因为那时日志可能已达 GB 级、编码混乱、或根本没落地。这时候 grep -i "error" /var/log/app/*.log | head -n 50 才是真正靠得住的第一指令。
