正则提取关键字段需写对模式、捕获到位、语言配合：先定位锚点设计命名捕获组，按行匹配优先，提取后立即转为可用类型。
直接用正则提取关键字段，核心是“写对模式、捕获到位、语言配合”。不靠人工翻找，也不依赖重型日志平台，几行代码就能从杂乱文本里揪出你要的数据。
先定位字段位置，再设计捕获组
日志不是随机字符串，它有固定结构。比如 Apache 日志中 IP 总在开头，状态码总在引号后、空格后；系统日志里时间戳常被方括号包裹。先看几行样例，找出目标字段前后不变的锚点（如 "GET、[、RPM=），再用括号 () 把要的内容包进去。
- 提取 IP 和状态码：
(\d+\.\d+\.\d+\.\d+).+" (\d{3}) - 提取方括号内时间：
\[(.*?)\]（非贪婪，避免跨过第一个右括号） - 提取等号后数字：
RPM=(\d+)或更稳一点RPM=(\d+)(?:\s|$)
优先用命名捕获组，别只靠 group(1)、group(2)
用 (?P
- 例如：
^(?P<time>\d{4}-\d{2}-\d{2} \d{2}:\d{2}:\d{2}) (?P<level>\w+) (?P<msg>.*)$</msg></level></time> - 匹配后直接
match.group("time")，不用数索引，也不会因加一个组就全乱套 - 在 SkyWalking 的 YAML 配置里也一样：
(?<timestamp>\d{8}) (?<level>\w+)</level></timestamp>
单行匹配够用，别硬上多行模式
绝大多数日志按行分割，每行一条记录。用 re.search() 或 re.match() 就行，别默认开 re.DOTALL 或 re.MULTILINE——除非你真要跨行合并（比如 Java 异常堆栈）。开了反而容易误匹配，性能也略降。
- Apache 日志、Syslog、自定义文本日志：一律按行处理
- 只有像 JSON 日志嵌套换行、或设备输出把一条记录拆成三行时，才考虑
re.DOTALL+.*?贪婪控制 - C 语言用
regex.h时，REG_NEWLINE仅在需识别^/$为每行起止时才加
提取后别停在字符串，立刻转成可用类型
正则只负责“找出来”，真正做分析还得靠编程语言。时间要转 datetime，数字要转 int/float，状态码要映射含义——这些不能靠正则完成。
- 时间筛选必须两步走：先用正则拿到原始时间串（如
10/Oct/2023:13:55:36 +0000），再用dateutil.parser.parse()或strptime转对象，最后比大小 - 数值字段如
TEMP=(\d+\.\d+)提取后，立刻float(match.group(1))，别留着字符串参与计算 - 在 C 中，用
strtol或strtod接正则结果，避免atoi遇非法字符静默失败
