tail -f 看不到新输出主因是日志文件未持续写入或轮转后失效：它基于文件描述符追踪，logrotate 重命名文件导致 inode 变更后即停止输出；而 tail -F 基于文件名周期检查并自动重开新文件，确保监控不中断。

直接用 tail -f 就能实时看日志，但多数人卡在路径找错、权限不够、日志轮转后断连这三件事上。

为什么 tail -f 看不到新输出？

常见不是命令写错，而是日志文件本身没在持续写入——比如应用没启动、日志被重定向到其他位置（stdout 被丢弃）、或用了日志框架（如 Log4j、logrus）默认输出到控制台而非文件。

• 先确认应用确实在往目标文件写：用 ls -l your-log-file 看最后修改时间，再 stat your-log-file 查 inode 是否变化
• 如果应用是容器化部署，日志可能在 /var/lib/docker/containers/container-id/container-id-json.log，且需加 -n 100 避免刷屏
• 某些服务（如 systemd 服务）默认不落盘，得用 journalctl -u service-name -f 替代

日志轮转（logrotate）后 tail -f 断了怎么办？

tail -f 跟的是文件描述符，不是文件名。一旦日志被 logrotate 重命名或清空重建，旧 fd 就失效，tail 停在原地不动，但不会报错——这是最隐蔽的“假监控”。

CMIC Skill Scanner (BCLinux 21 / 低版本 glibc Linux x64)

使用内置 Rust 引擎审计待安装的 skill 包或归档，可选桥接外部扫描器。

下载

• 改用 tail -F（大写 F）：它会持续追踪文件名，发现文件被删/重建后自动 reopen，等价于 --follow=name --retry
• 若必须用 -f，可配合 inotifywait 监听 move_to 或 create 事件，触发重新 tail -f
• 检查 logrotate 配置里是否有 copytruncate ——它不清空原文件而是截断，tail -f 能继续读，但可能漏掉截断瞬间的日志

权限不足、中文乱码、高频率刷屏怎么处理？

权限和编码问题常导致 tail -f 报 Permission denied 或显示 ；高频日志则让终端卡死。

• 权限：别硬加 sudo tail -f，优先用 usermod -aG syslog your-user 把用户加入日志组，再设日志目录 g+r
• 中文乱码：确认终端 LANG 和日志文件编码一致，临时用 iconv -f GBK -t UTF-8 your-log-file | tail -f 转码（不推荐长期用，应统一源头编码）
• 刷屏：加 -n 0 跳过历史内容，或用 grep --line-buffered "ERROR\|WARN" | tail -f 过滤关键行（注意 --line-buffered 防止缓冲延迟）

真正难的不是命令本身，是搞清日志从哪来、被谁管、何时变——tail -F 只是工具，背后得盯住应用行为、系统配置、轮转策略三个变量。