docker logs 配合 grep、jq 等工具可高效提取日志关键字：支持实时筛选（-f）、时间范围（--since/--until）、错误流合并（2>&1）、上下文输出（-a/-b/-c）及 json 字段提取（jq）。
直接用 docker logs 配合管道和文本工具，就能从容器日志里快速提取业务关键字，不需要导出、不依赖外部系统。
按关键词实时筛选日志
适合正在运行的服务，边看边过滤：
-
docker logs -f app-order | grep -i "payment_failed"：实时跟踪订单服务，只显示含“payment_failed”的新日志 -
docker logs -f --tail 50 app-user | grep -E "(login|logout)"：先取最近 50 行，再匹配登录或登出行为 - 注意加
2>&1合并错误流：docker logs app-api 2>&1 | grep "order_id=12345"，避免漏掉 stderr 中的关键信息
按时间范围+关键词精准定位
缩小排查窗口，避免被历史噪音干扰：
-
docker logs --since 30m app-payment | grep "refund_amount"：查最近半小时内退款金额相关日志 -
docker logs --since "2026-08-13T10:00:00" --until "2026-08-13T11:30:00" app-inventory | grep "stock_sync"：锁定某次库存同步时段内的日志 - 时间单位支持
s（秒）、m（分钟）、h（小时），例如--since 15m比写完整时间戳更省事
带上下文的关键词提取
单行匹配容易断章取义，加前后几行能看清来龙去脉：
-
docker logs app-web | grep -A 2 -B 1 "500 Internal Server Error"：匹配行 + 前 1 行 + 后 2 行，看清报错前后的请求和响应 -
docker logs --tail 200 app-auth | grep -C 3 "token_expired"：在最后 200 行中查找“token_expired”，并显示上下各 3 行 -
-C n等价于-A n -B n，适合快速抓取异常上下文
结构化日志中提取 JSON 字段值
如果应用输出的是 JSON 日志（如 {"event":"order_created","order_id":"ORD-789"}），可用 jq 精确提取：
-
docker logs app-order | jq -r 'select(.event == "payment_confirmed") | .order_id'：只输出支付确认事件对应的 order_id -
docker logs --since 1h app-notify | jq -r 'select(.level == "error") | .message'：查最近一小时所有 error 级别的 message 内容 - 确保宿主机已安装
jq；若无，可用grep+awk替代，例如grep '"order_id":' | awk -F':"' '{print $2}' | cut -d'"' -f1
