grep需搭配参数高效排查日志：-i忽略大小写，-n显示行号，-a/-b/-c查看上下文，-v排除干扰，管道结合tail/journalctl/docker实时监控。
直接用 grep "关键词" 日志文件路径 就能快速筛选出含关键字的日志行，比如 grep "error" /var/log/syslog。但实际排查中光靠基础用法远远不够——得搭配常用参数才能准确定位问题、排除干扰、看清上下文。
忽略大小写，避免漏掉关键报错
日志里 error 可能写成 Error、ERROR 或 ErRoR，不加 -i 容易漏掉。加上后统一匹配：
grep -i "error" app.log-
grep -i "timeout\|fail" nginx-access.log（配合 -E 或用 \| 实现多词或匹配）
显示行号 + 查看上下文，快速定位问题现场
单看一行报错信息往往不够，需要知道它在哪、前后发生了什么：
-
grep -n -i "exception" app.log—— 显示行号，方便跳转编辑器查看 -
grep -A 3 -B 2 -i "critical" system.log—— 匹配行前2行、后3行一起输出 -
grep -C 5 "segfault" kern.log—— 前后各5行，完整还原异常上下文
排除干扰项，聚焦有效信息
日志常混着空行、注释、调试信息，用 -v 能干净过滤：
-
grep -v "^$" /etc/nginx/nginx.conf—— 排除所有空行 -
grep -v "^#" /etc/ssh/sshd_config—— 排除注释行 -
grep -i "error" app.log | grep -v "healthcheck"—— 先筛 error，再剔除健康检查的假阳性
结合管道实时监控，边跑边查
服务还在运行？用 tail -f 实时抓取新日志，再用 grep 过滤关键信号：
-
tail -f /var/log/auth.log | grep -i "failed"—— 实时盯住登录失败 -
journalctl -u nginx -f | grep -E "(error|timeout)"—— systemd 日志流里精准捕获异常 -
docker logs -f myapp | grep -i "panic"—— 容器日志实时追踪崩溃
不复杂但容易忽略。真正高效的日志排查，不是只找“有没有”，而是快速确认“在哪发生、前后怎样、哪些无关”。掌握这几个参数组合，基本覆盖 90% 的线上问题定位场景。
