Docker容器日志不原生支持按时间段过滤，但可通过docker logs --since/--until（最直接）、jq解析JSON时间字段、awk/grep粗筛或导出后脚本处理实现；前提为使用默认json-file驱动且日志含ISO格式时间戳。
Docker 容器日志本身不原生支持按时间段过滤（比如“昨天 14:00 到今天 10:00”），但可以通过组合 docker logs 和系统命令（如 grep、sed、awk）或借助时间戳解析实现近似效果。关键在于：日志必须包含可解析的时间戳，且容器需以默认 JSON 日志驱动运行（Docker 默认即如此）。
确认日志格式和时间字段
Docker 默认使用 json-file 驱动，每行日志是 JSON 格式，含 "time":"2024-05-20T14:23:11.123456Z" 字段。这是时间过滤的基础。可用以下命令验证：
docker logs --timestamps <container_id> | head -n 1
若输出类似 2024-05-20T14:23:11.123456Z stdout F ...，说明启用了时间戳；若无，需加 --timestamps 参数确保输出带时间。
用 awk 按 ISO 时间范围筛选（推荐）
利用 awk 解析 JSON 中的 time 字段，转换为 Unix 时间戳后比对。例如查 2024-05-20 14:00:00 到 2024-05-21 09:00:00 的日志：
- 先安装
jq（轻量级 JSON 处理工具）：apt-get install jq（Debian/Ubuntu）或yum install jq（CentOS/RHEL） - 执行过滤命令：
docker logs --timestamps <container_id> 2>&1 | \
awk -F' ' '{gsub(/"/,"",$2); print $2 " " $0}' | \
awk -v start="2024-05-20T14:00:00" -v end="2024-05-21T09:00:00" '
$1 >= start && $1 <= end {print substr($0, index($0," ")+1)}'
更可靠的方式是用 jq 提取并过滤：
docker logs --raw <container_id> 2>&1 | \ jq -r 'select(.time >= "2024-05-20T14:00:00Z" and .time <= "2024-05-21T09:00:00Z") | .log'
注意：--raw 输出原始 JSON 行，jq 可精准匹配 ISO8601 时间字符串（需补 Z 或时区）。
用 grep 快速粗筛（适用于简单场景）
如果只要大致时间范围（如某天某小时），且日志时间戳格式统一，可用 grep 简单匹配：
- 查今天上午的日志：
docker logs --timestamps <container_id> | grep "T09:" | grep "$(date +%Y-%m-%d)" - 查昨天全天：
docker logs --since "$(date -d 'yesterday' +%Y-%m-%dT00:00:00)" --until "$(date -d 'today' +%Y-%m-%dT00:00:00)" <container_id>
注意：--since 和 --until 是 Docker 原生命令，但只支持相对时间（如 1h、24h）或 ISO 格式绝对时间（需精确到秒，且容器日志驱动必须为 json-file）。它不是“过滤已有日志”，而是限制读取日志的时间范围——更高效，也最常用。
保存日志再处理（适合大量日志）
当需多次分析或日志量大时，先导出再过滤更灵活：
docker logs --timestamps <container_id> > app.log
然后用 awk、sed 或 Python 脚本按需解析。例如用 Python 快速提取某时段：
python3 -c "
import sys, json
from datetime import datetime
start = datetime.fromisoformat('2024-05-20T14:00:00')
end = datetime.fromisoformat('2024-05-21T09:00:00')
for line in sys.stdin:
try:
log = json.loads(line)
ts = datetime.fromisoformat(log['time'].rstrip('Z'))
if start <= ts <= end:
print(log['log'], end='')
except: pass
" < app.log
不复杂但容易忽略：务必确认日志驱动、时间格式和时区。UTC 时间最稳妥，本地时间需手动换算。用 --since/--until 是最直接的方式，而精细控制建议搭配 jq 或脚本处理。
