tail -f 会因日志轮转导致停住，因其基于 inode 跟踪原文件；应改用 tail -F（即 --follow=name --retry），它按文件名重试监控，适配轮转场景。
tail -f 是 Linux 下最常用、最直接的实时日志查看方式，但不是所有场景都适合——它只追加，不处理滚动、轮转或权限变更。
tail -f 为什么有时突然停住？
常见现象是终端不再输出新内容，但文件其实在持续写入。根本原因通常是日志轮转（logrotate）触发后，原文件被重命名或删除，tail -f 仍盯着旧 inode，而新内容写入了新文件。
- 用
ls -i查看文件 inode 号，轮转前后通常不同 - 此时应改用
tail -F（大写 F），它会自动检测文件是否被替换并重新打开 - 若日志服务使用
copytruncate模式轮转（如某些 Nginx 配置），tail -f可能继续工作，但存在极短时间漏读
tail -f 和 tail -F 的关键区别
tail -f 等价于 tail --follow=descriptor：它基于文件描述符跟踪原始打开的文件，不管文件名是否变化；tail -F 等价于 tail --follow=name --retry：始终按文件名查找，失败时重试，适合生产日志监控。
- 调试时用
tail -f /var/log/syslog足够快、轻量 - 部署脚本或长期监控必须用
tail -F /var/log/nginx/access.log -
--retry参数在文件暂不可见时（如刚创建）避免报错退出
如何同时监控多个文件并区分来源？
原生 tail -f 不支持多文件带前缀标识，但可用 tail -f + stdbuf + awk 快速实现：
Linux Security Scanner
下载
Linux 安全审计工具，检查 SSH 配置、开放/监听端口、防火墙规则（ufw/iptables/nftables）、失败登录尝试、sudoers 权限...
stdbuf -oL tail -f /var/log/auth.log /var/log/syslog | \
awk -F ' ' '{if ($0 ~ /^==>.*
<p>注意点：</p>
- 必须加
stdbuf -oL强制行缓冲，否则awk可能卡住 -
tail -f多文件时会自动打印==> filename 分隔线，这是解析依据 - 如果文件路径含空格，该写法会失效，需改用
tail -F分进程 +ts加时间戳更稳妥
tail -f 卡住或高 CPU 的可能原因
看似简单的命令，实际可能因底层行为引发问题：
- 挂载的 NFS 或 CIFS 文件系统上使用
tail -f，inotify 不生效，tail退化为轮询，默认每秒检查一次，CPU 升高且延迟明显 - 文件被其他进程以
O_APPEND以外方式写入（如覆盖写、seek 后写），tail -f无法感知，表现为“不动” - 终端关闭后子进程未退出，残留
tail进程持续 hold 文件句柄，影响日志轮转
真正需要稳定监听时，别只依赖 tail -f —— 它是调试利器，不是基础设施组件。轮转逻辑、文件系统类型、写入模式，任何一个变量没对齐，就容易掉进静默失败的坑里。
