tail -f 是最直接、最可靠的实时日志监控命令，95% 场景首选；-F 可自动应对日志轮转，生产环境应优先使用；cat/head 不支持实时追踪，易卡顿丢行；配合 grep 时需用 -C 和 --line-buffered 保障上下文与实时性。
tail -f 是最直接、最可靠的方式，95% 的线上日志监控场景都靠它。别被 less 的 F 键或 journalctl -f 分散注意力——除非你明确需要搜索回溯或 systemd 日志，否则起步就用 tail -f。
为什么不用 cat 或 head 查实时日志
这两个命令是“快照型”工具：cat 会把整个文件刷到终端，大日志直接卡死 SSH；head 只看开头，和“实时”完全无关。它们不监听文件变化，也不会自动追加新内容。强行用 cat logfile | while read; do ... 模拟实时，不仅低效，还会丢行、乱序、无法中断。
tail -f 和 tail -F 的关键区别
日常用 -f 就够，但生产环境必须知道 -F 的存在：
-
tail -f /var/log/nginx/error.log：文件被轮转（比如重命名为error.log.1）后，tail会卡在旧文件末尾，不再输出新日志 -
tail -F /var/log/nginx/error.log：自动检测文件是否被移走或重建，一旦发现新文件生成，立刻切换跟踪——这是 logrotate 场景下的事实标准 - 两者都不依赖 inotify，纯靠 stat() 检查 inode 和 size，兼容性极好，连老旧的嵌入式 Linux 都支持
配合 grep 过滤时容易漏掉上下文
只写 tail -f app.log | grep ERROR 很危险，因为错误往往不是孤立出现的。比如一次数据库连接失败，前几行可能是连接池初始化，后几行是堆栈，中间夹着 ERROR 才是关键线索：
- 用
-C 3显示匹配行前后各 3 行：tail -F app.log | grep -C 3 "Connection refused" - 避免管道阻塞：如果日志量极大，
grep可能缓冲输出，加--line-buffered强制逐行刷新：tail -F app.log | grep --line-buffered -i "timeout" - 多个关键词用
-E正则：tail -F app.log | grep -E "(ERROR|FATAL|panic)"
less 进入实时模式后不能直接退出查看历史
less +F logfile 确实能实现类似 tail -f 的滚动，按 Ctrl+C 后进入普通浏览模式，这时你可以搜索、跳行、看行号——但很多人不知道怎么“安全退出”这个状态：
- 按
Ctrl+C停止追加，此时仍处于less中，可自由翻页、/keyword搜索 - 想回到实时模式？按
F（大写）即可恢复，无需退出重进 - 真正退出
less：按q，不是Ctrl+C再按q——后者会多按一次，容易误判为没退出成功 -
less不适合高频轮转的日志（如每分钟切一个），因为每次轮转后需手动:e newfile切换，tail -F是更省心的选择
tail -F 是第一反应，less +F 是第二层手段——前者保命，后者破局。别迷信“功能多就更好用”，日志排查的核心永远是：快速看到新增、不丢上下文、不被轮转搞崩。 
