tail -f 是实时跟踪追加写入日志最常用可靠的命令，-f 可自动跟随轮转文件；journalctl -f 适用于 systemd 系统；less +f 适合需回看的场景；注意权限、轮转和编码问题。
用 tail -f 实时跟踪日志文件最常用也最可靠
绝大多数 Linux 日志（如 /var/log/syslog、/var/log/nginx/access.log）是追加写入的，tail -f 正是为此设计：它不会重读整个文件，而是持续监听文件末尾新增内容。
常见错误是直接用 cat 或 less 打开后反复按 F 键——这在某些终端或 less 版本里可能失效，且不保证实时性；还有人误用 watch -n 1 'tail -n 20 file'，这会频繁启新进程，浪费资源又可能漏掉瞬间写入的几行。
-
tail -f /var/log/auth.log：开始实时输出，按Ctrl+C退出 - 如果日志轮转（比如 logrotate 触发），
-f默认会停止跟踪——加-F（大写 F）可自动跟随新文件，例如tail -F /var/log/nginx/access.log - 想看最近 100 行再进入实时模式？用
tail -n 100 -f file，注意-n必须在-f前面，否则部分旧版tail会忽略
当 journalctl 管理系统日志时，别硬套 tail
systemd 系统（CentOS 7+、Ubuntu 16.04+、Debian 9+）默认把内核、服务日志全交给 journalctl，这时直接 tail /var/log/messages 可能为空或滞后——因为日志根本没写进那里。
journalctl 自带实时能力，且支持过滤、反向查看、单位限定等，比拼接 tail + grep 更精准。
-
journalctl -f：实时输出所有 journal 日志 -
journalctl -u nginx.service -f：只跟踪 nginx 服务的日志 -
journalctl --since "2 hours ago" -f：从两小时前开始实时输出（注意引号） - 默认输出含颜色和元数据，加
--no-hostname --no-pager可简化为纯文本流，方便管道处理
less +F 不是“替代方案”，而是有明确适用场景的备选
less 的 +F 模式行为类似 tail -f，但它本质是“滚动到文件末尾并等待新增”，优势在于可以随时按 Ctrl+C 暂停、用方向键/搜索回看、再按 F 继续——适合需要偶尔翻查上下文的调试场景。
但要注意：less +F 对符号链接或被截断重写的日志文件（如某些自定义脚本日志）反应不稳定；且首次加载大文件时会卡顿，不如 tail -f 启动快。
- 启动：
less +F /var/log/myapp.log - 暂停后搜索关键词：按
Ctrl+C→ 输入/error→ 回车 → 按n下一个匹配 - 重新开始追加：按
F（必须大写）
权限不足、文件被覆盖、编码乱码是三个高频中断点
实时查看突然停住？先别怀疑命令，大概率是权限、路径或写入方式的问题。
-
Permission denied：日志文件属主可能是root:syslog，普通用户需加sudo tail -f /var/log/syslog；但更安全的做法是将用户加入syslog组：sudo usermod -aG syslog $USER，然后重新登录 - 日志“不动了”：检查是否被 logrotate 重命名或清空。用
ls -lt /var/log/*.log*看时间戳，再确认tail -F是否启用（小写-f不跟轮转） - 中文显示为
或乱码：不是tail问题，是终端 locale 和日志写入编码不一致。临时解决：运行前设export LANG=en_US.UTF-8；长期需统一应用日志编码（如 Python 中指定encoding='utf-8'）
真正复杂的不是命令本身，而是日志来源的多样性——服务用 journalctl、Nginx 写文件、Java 应用打到 log4j 文件、容器又可能 stdout 重定向……得先分清日志是谁写的、怎么落盘的，再选工具。
