<p>Sublime Text正则替换无法直接使用\K重置匹配起点，因其PCRE引擎不支持\K；日志中多出前导空格是因^.*?贪婪匹配了IP与方括号间的全部前缀，应改用锚定分隔符如^\d{1,3}(.\d{1,3}){3} - [([^]]+)]精确提取。</p>
Sublime Text 的正则替换能直接提取结构化字段，但必须用 \K 重置匹配起点，否则容易多捕获、漏字段或破坏换行。
为什么日志里用 ^.*? - \[([^]]+)\].*?\"(\w+) ([^ ]+) HTTP\/\d\.\d\" (\d+) 总是多出前导空格？
因为 ^.*? 默认贪婪到第一个非空字符，但日志开头常有时间戳+空格+连接符（如 10.0.0.1 - [），.*? 实际匹配了整个前缀，导致后续分组被挤偏。更稳的方式是锚定已知分隔符：
- 用
^[\d.]+ - \[([^]]+)\]显式匹配 IP + 空格 + 连字符 + 空格 + 方括号，避免.*?漂移 - HTTP 方法和路径之间是空格，但路径可能含空格（如
GET /api/v1/users?id=123 HTTP/1.1），所以(\w+) ([^ ]+)只适用于简单路径；若要兼容查询参数，改用(\w+) ([^\s"]+) - 状态码后可能跟空格或引号，
(\d+)后加(?=\s|$)能防止匹配到后续数字（如响应体长度）
怎样用 \K 提取纯值而不带前后冗余字符？
比如日志行：192.168.1.5 - [10/Jul/2024:14:22:03 +0800] "GET /login?from=/home HTTP/1.1" 302 244，只想提取 /login?from=/home，不用捕获组也能干净切出：
^.*?"\w+ \K[^"]+
-
\K会丢弃此前所有匹配内容，只保留之后的部分作为替换/提取结果 -
[^"]+确保不跨过引号，比.*?更安全 - 如果想批量提取并转成 CSV，可在 Replace 框中填
$0（表示整个匹配）或直接留空做删除，再用列编辑补分隔符
替换时保留原始行结构，只改某几个字段怎么办？
常见需求：把所有 404 状态码替换成 404 (Not Found)，但不动其他数字（如响应体长度 244）。关键在负向断言：
(?<=\")(\d{3})(?=\s+\d+\"$)(? 确保前面是引号（即状态码紧接在请求行引号后）-
(?=\s+\d+\"$)确保后面是空格+数字+引号+行尾，排除响应体长度 - Replace 填
$1 (Not Found)即可；若想统一处理多个状态码，可用(404|500|403)替代\d{3}
真正卡住人的往往不是正则语法，而是日志格式的微小差异——比如有的用方括号包时间，有的用花括号；有的响应体长度字段缺失；有的 User-Agent 跨多行。先用 Sublime 的 Find All 验证模式是否稳定覆盖全部样本，比急着替换更重要。
