实时追踪动态日志文件的核心是持续监听文件末尾新增内容，常用方法包括：1. tail -f 监控单个文件；2. tail -f | grep 过滤关键信息；3. tail -F 应对日志轮转；4. less +F 或 multitail 实现多文件监控与交互操作。
实时追踪正在写入的动态日志文件，核心是让工具持续监听文件末尾新增内容，而不是一次性读取快照。关键不在于“看全”，而在于“跟得上、看得清、不断档”。下面几种方法覆盖大多数场景，按常用程度和实用性排序。
用 tail -f 监控单个日志文件
这是最基础也最可靠的方案。tail -f 通过文件描述符持续读取文件末尾，新行一写入就立刻显示。
- 基本用法：
tail -f /var/log/syslog（显示最后10行并持续追加） - 想多看几行起始内容，加
-n参数：tail -n 50 -f /var/log/nginx/error.log - 停止追踪直接按 Ctrl+C
用 tail -f + grep 精准过滤关键信息
当日志刷屏太快或只想关注特定事件时，过滤能大幅降低干扰。
- 只显示含 “ERROR” 的行：
tail -f app.log | grep ERROR - 同时匹配多个关键词（如 ERROR 或 timeout），不区分大小写：
tail -f app.log | grep -iE 'error|timeout|failed' - 显示匹配行及上下文（比如前后各2行）：
tail -f app.log | grep -C 2 -i '500 internal server error'
应对日志轮转：用 tail -F（大写F）代替 -f
普通 -f 在日志被 logrotate 重命名后会停在旧文件上；-F 会自动检测文件名变化，重新打开新生成的日志文件。
- 推荐生产环境统一用：
tail -F /var/log/myapp/current.log - 它等价于
--follow=name --retry，即使文件被删、重建或重命名也能继续跟踪
多文件同时监控或需交互操作：less +F 或 multitail
适合需要临时翻查历史+继续追新、或同时盯几个日志源的情况。
-
less app.log→ 按 Shift+F 进入“跟随模式”，效果类似 tail -f；按 Ctrl+C 暂停，可上下翻页查历史，再按 F 继续追新 - 安装 multitail：
sudo apt install multitail（Debian/Ubuntu）或sudo yum install multitail（CentOS/RHEL） - 同时监控多个文件：
multitail /var/log/auth.log /var/log/kern.log，支持颜色高亮、分割视图、搜索和保存会话
