文本查看与搜索

cat file.txt                    # 全量输出到终端
cat -n file.txt                 # 带行号输出
cat file1.txt file2.txt > merged.txt  # 合并多个文件

less /var/log/syslog             # 打开文件，分页浏览

# less 内的快捷键（和 man/more 共用）
# Space / b       向下翻页 / 向上翻页
# g / G           跳到文件开头 / 文件末尾
# /keyword        向下搜索
# ?keyword        向上搜索
# n / N           下一个匹配 / 上一个匹配
# q               退出
# -N 启动参数     显示行号
# -i 启动参数     搜索忽略大小写

less -N /var/log/syslog          # 显示行号
less +F /var/log/syslog          # 类似 tail -f，实时跟踪
# 在 less 中按 Ctrl+C 停止跟踪，按 F 恢复跟踪

# head：看文件开头
head -n 20 /var/log/syslog       # 前 20 行
head /var/log/syslog             # 不带 -n 时默认前 10 行

# tail：看文件末尾
tail -n 50 /var/log/syslog        # 最后 50 行
tail -n +100 file.txt             # 从第 100 行开始到末尾

# tail -f：实时跟踪（最重要）
tail -f /var/log/syslog           # 实时看日志增长
tail -f /var/log/syslog /var/log/auth.log  # 同时跟踪多个文件
tail -n 100 -f /var/log/syslog    # 先显示最后 100 行，再实时跟踪

grep "error" /var/log/syslog             # 在文件中搜索
grep "error" *.log                       # 搜索多个文件
grep "error" /var/log/*                  # 通配符

# 递归搜索：在所有 Nginx 日志中找 502 错误
grep -rn "502 Bad Gateway" /var/log/nginx/    # r=递归, n=行号

# 上下文：看 ERROR 前 3 行 + 后 5 行
grep -B3 -A5 "ERROR" app.log

# 排除干扰：找 ERROR 但排除已知的无关错误
grep "ERROR" app.log | grep -v "known_ignore_pattern"

# 统计：看每种错误出现了多少次
grep "ERROR" app.log | awk '{print $NF}' | sort | uniq -c | sort -rn

# 多条件或：找 error 或 timeout 或 failed
grep -E "error|timeout|failed" app.log
grep -e "error" -e "timeout" -e "failed" app.log  # 等价写法

# 排除注释和空行：只看有效配置
grep -v "^#" /etc/nginx/nginx.conf | grep -v "^$"
# "^#" 行首是 # 的注释行，"^$" 是空行

# 匹配 "abc 或 abbc"（b 出现 1 次以上）
grep    'ab\+c' f      # BRE：+ 要转义
grep -E 'ab+c'  f      # ERE：+ 直接用

# 分组 + 或
grep    '\(err\|warn\)' f    # BRE：() 和 | 都要转义
grep -E '(err|warn)'    f    # ERE：干净利落

# 记忆：ERE 里“加了反斜杠反而变回字面量”。写正则优先用 grep -E，省心。

# 匹配 IP 地址（简化版）
grep -E '[0-9]{1,3}\.[0-9]{1,3}\.[0-9]{1,3}\.[0-9]{1,3}' access.log

# 匹配时间戳格式 [01/Jul/2025:10:30:15]
grep -E '\[[0-9]{2}/[A-Z][a-z]{2}/[0-9]{4}:[0-9]{2}:[0-9]{2}:[0-9]{2}' access.log

# 匹配 HTTP 状态码（三位数）
grep -E ' [0-9]{3} ' access.log

# 匹配以 ERROR 或 FATAL 开头的行
grep -E '^(ERROR|FATAL)' app.log

# 匹配行尾是分号或逗号
grep -E '[,;]$' data.txt

# 匹配包含数字 >= 500 的行（简化）
grep -E '5[0-9]{2}' access.log

# 场景：服务刚上线，需要实时看有没有错误

# 方法 1：tail -f + grep
tail -f /var/log/myapp/app.log | grep -i "error"

# 方法 2：同时高亮多个关键词
tail -f /var/log/myapp/app.log | grep -E --color "error|timeout|exception|fatal"

# 方法 3：看错误的同时排除噪音
tail -f /var/log/myapp/app.log | grep -i "error" | grep -v "DEBUG\|known_bug"

# Step 1：确认 502 的范围和时间分布
grep -rn "502" /var/log/nginx/ | wc -l
# 一共多少条 502

# Step 2：看最近 10 条 502
grep "502" /var/log/nginx/access.log | tail -10

# Step 3：502 对应的 upstream 是哪台
grep "502" /var/log/nginx/error.log | tail -10
# 看到 upstream: "http://10.0.1.5:8080/..."

# Step 4：统计哪些 URI 出 502 最多
grep " 502 " /var/log/nginx/access.log | awk '{print $7}' | sort | uniq -c | sort -rn | head
# 找到最频繁出 502 的接口路径

# Step 5：统计出 502 最多的客户端 IP（grep -o 组合拳）
grep " 502 " /var/log/nginx/access.log \
  | grep -oE '^[0-9]{1,3}(\.[0-9]{1,3}){3}' \
  | sort | uniq -c | sort -rn | head
#   grep -oE 只抠出行首 IP → sort 排序 → uniq -c 计数 → sort -rn 倒序 → head 取 TopN
#   这套“grep|sort|uniq -c|sort -rn|head”是日志分析的万能组合拳

# 看 Pod 最近 200 行日志中的 ERROR
kubectl logs pod-name --tail=200 | grep ERROR

# 看 Pod 日志，实时过滤错误
kubectl logs -f pod-name | grep -E "ERROR|FATAL|Exception"

# 看多个 Pod（标签筛选）的日志
kubectl logs -l app=myapp --tail=100 | grep -i error

# 大文件搜索：不要 cat 全量再 pipe grep（极慢）
cat 10GB.log | grep "error"         # 错误！cat 读全部再传给 grep

# 正确方式：让 grep 直接读文件
grep "error" 10GB.log               # grep 内部做了优化

# 递归搜索大目录时加限制
grep -rn "error" /var/log/          # 小心遍历所有子目录
grep -rn "error" /var/log/nginx/    # 限制范围

# 如果知道文件后缀，加 --include
grep -rn "error" /var/log/ --include="*.log"

# wc：统计行数、单词数、字节数
wc -l access.log              # 日志有多少行
wc -c file.txt                # 文件多少字节
find . -name "*.go" -exec cat {} + | wc -l  # 项目总代码行数

# file：判断文件类型
file unknown_file             # 不确定是什么文件时用这个
file /bin/ls                  # ELF 64-bit executable

# stat：查看文件的详细元数据
stat /etc/passwd
# 看 inode、权限、三个时间戳（atime/mtime/ctime）