docker logs --tail N 能读已停止容器日志，因日志由 json-file 驱动持久化至宿主机文件，容器退出不删除该文件；仅 docker rm 后才清除。
直接用 docker logs --tail n 容器名 就能拿到崩溃前最后 n 行日志，关键不是设多大数值，而是理解它“只读容器内部已写入的日志缓冲区”这一行为——哪怕容器已退出，只要没被 docker rm 删除，日志就还在。
为什么 --tail 能读到已停止容器的日志
Docker 容器的标准输出（stdout/stderr）默认由 json-file 日志驱动捕获并持久化到宿主机磁盘（路径类似 /var/lib/docker/containers/[ID]/[ID]-json.log）。这个文件不会随容器停止而清空，--tail 实际是从该文件末尾向前读取指定行数。
- 容器运行中：读的是正在追加的活跃日志文件
- 容器已退出但未删除：读的是完整保留的历史日志文件
- 容器已被
docker rm：日志文件被一并清除，--tail将报错或返回空
如何选对 N 值，避免漏掉关键上下文
太小（如 --tail 10）可能只看到报错最后一行，看不到堆栈或前置异常；太大（如 --tail 10000）会拖慢响应，且混入大量无关启动日志。推荐按场景设定：
- 排查启动失败：用
--tail 200—— 覆盖典型应用初始化+依赖检查+首次报错全过程 - 定位偶发崩溃：用
--tail 500—— 包含最近几次请求、资源告警、GC 日志等线索 - 确认是否真崩溃：先执行
docker ps -a | grep 容器名，看 STATUS 是否含Exited (X)，再查日志
搭配 -f 和 -t 提升可读性与时间定位
单独 --tail 是静态快照，加上实时跟踪和时间戳才能还原事件链：
-
docker logs -n 300 -f -t nginx-prod：先显示最近 300 行，立刻转为实时流，并每行带 ISO 时间戳 - 若崩溃刚发生，
-f可能立即补上退出瞬间的最后几条（如 “Killed”、“exit code 137”），这是纯--tail拿不到的 - 终端里按
Ctrl+S暂停滚动、Ctrl+Q恢复，比反复重跑命令更高效
进阶技巧：用 --since 缩小时间范围再套 --tail
当知道大致出问题的时间点（比如运维告警是 14:22），可先用时间过滤缩小范围，再取末尾：
docker logs --since "2026-06-19T14:20:00" --tail 100 app-backend- 这比盲目拉取全部日志再本地 grep 更快，尤其在日志量大的容器中
- 注意时间格式必须严格匹配 ISO 8601（
YYYY-MM-DDTHH:MM:SS），不支持自然语言如 “2 minutes ago”
