notepad++无需插件即可批量提取错误信息，其内置正则引擎可靠；关键在于正确设置搜索模式、捕获逻辑及边界控制，如用\b防止误匹配、用.*?提升空白容错、用(?=...)实现多条件匹配，并注意版本兼容性与大文件分步处理。
Notepad++ 本身不依赖插件就能批量提取错误信息，正则表达式引擎已内置且足够可靠；所谓“正则插件”其实是误解——真正要调的是搜索模式和捕获逻辑。
匹配含特定错误码的整行（如 500、502、Exception）
直接用 ^.*500.*$ 这类表达式容易漏掉换行或空格干扰的变体。更稳妥的做法是：先确保日志每条记录为单行（无换行符嵌套），再用带边界控制的写法。
- 查所有 HTTP 错误状态码：
^.*\b(500|502|503|504)\b.*$——\b防止匹配到1500或5001 - 查 Java 异常起始行：
^(Caused by:|java\.lang\.|Exception|Error):—— 注意冒号后可能有空格，不用加.*$反而更准 - 查 Nginx 中 upstream timeout 类错误：
upstream timed out.*\(110\)—— 括号需转义，110是 errno，比模糊词更稳
提取时间戳、IP、路径等字段并导出为 CSV
不是简单替换，关键在捕获组顺序和空白容错。原始日志若含多余空格或缺失字段，.*? 比 .* 更安全。
- 典型 Nginx 日志提取：
^(\S+) \S+ \S+ \[([^\]]+)\] "(\w+) ([^"]+) [^"]+" (\d+) .*→ 替换为：$1,$2,$3,$4,$5 - Spring Boot 日志（含 INFO/ERROR 标签）：
^(\d{4}-\d{2}-\d{2} \d{2}:\d{2}:\d{2}.\d{3})[^[]*\[([^]]+)\].*"(GET|POST) ([^"]+)".*?(\d{3}) - 务必勾选
. matches newline（仅当需跨行匹配时），但提取单行字段时禁用它，否则.*会吞掉整文件
同时匹配两个关键词（如 “502” 和 “/payment”）
不能靠两次 Ctrl+F 手动叠加，必须用正向先行断言 (?=.*502)(?=.*\/payment)，否则顺序一变就失效。
- 完整匹配行：
^(?=.*502)(?=.*\/payment).*$—— 注意^和$锁定整行范围 - 避免误匹配注释或 URL 参数：
^(?=.*502)(?=.*\/payment(?!\?)).*$——(?!\?)排除后面紧跟问号的情况 - Notepad++ 7.9.2+ 才稳定支持
(?=...)，旧版本会报错或静默失败
处理大日志文件时的实际卡点
GB 级日志打开后响应慢，不是正则问题，而是编辑器内存策略导致的。别硬扛，分步做。
- 先用
Ctrl+M（标记）高亮目标行，再用搜索 → 书签 → 复制书签行导出 —— 比全量替换快 3 倍以上 - 若文件 >500MB，建议先用命令行预筛：
findstr /C:"500" access.log > error_500.log（Windows）或grep "500" access.log > error_500.log（WSL） - 编码必须一致：UTF-8 with BOM 的日志，若用 ANSI 打开，中文和特殊符号会导致正则完全失准
真正麻烦的从来不是写对正则，而是日志格式本身不统一——同一份日志里可能混着不同时间格式、IP 写法、甚至缩写状态码。动手前花两分钟扫一眼样本分布，比反复调正则省半小时。
