sublime中匹配系统日志时间戳需用基础正则：传统syslog用^(jan|feb|...|dec)\s+(0?[1-9]|12|3[01])\s+([01]?[0-9]|2[0-3]):(0-5):(0-5)，iso格式用(\d{4}-\d{2}-\d{2}t\d{2}:\d{2}:\d{2})(.\d{1,6})?([+-]\d{4}|z)?，注意关闭“. matches newline”并避免unicode边界问题。
Sublime 中用正则匹配系统日志时间戳的通用模式
Linux 系统日志（如 /var/log/syslog 或 journald 输出）常见时间格式是 Mar 15 10:23:45 或 2024-03-15T10:23:45.123Z，但 Sublime 的正则引擎不支持命名捕获组和某些 PCRE 特性，得用基础 BRE/ERE 兼容写法。
匹配传统 syslog 格式（月名+日+时间）最稳的 pattern 是：
^(Jan|Feb|Mar|Apr|May|Jun|Jul|Aug|Sep|Oct|Nov|Dec)\s+(0?[1-9]|[12][0-9]|3[01])\s+([01]?[0-9]|2[0-3]):([0-5][0-9]):([0-5][0-9])注意：Sublime 默认开启
. matches newline 选项时会破坏行首锚定，务必关闭它（菜单 Find → Find... 右下角取消勾选）。
- 月份必须显式枚举，
[A-Z][a-z]{2}会误匹配其他单词（如Memory） - 日期中的
0?[1-9]覆盖1和01，但别漏掉10–31的两位数情况 - 小时用
[01]?[0-9]|2[0-3]比[0-2]?[0-9]更安全——后者会错抓39
把 syslog 时间转成 ISO 8601 格式（含年份）
Sublime 不支持在替换中执行 JavaScript 或调用系统时间，所以「自动补全年份」不可行。但可以分两步走：先用正则提取字段，再人工或脚本补年份。
替换字段用 到 引用捕获组，例如：
$1 $2 $3:$4:$5 → $2/$1/2024 $3:$4:$5这会把
Mar 15 10:23:45 变成 15/Mar/2024 10:23:45。但注意：$1 是月份缩写，不能直接当数字用；如果要 ISO 格式（2024-03-15T10:23:45），得手动建个映射表或用外部工具处理。
- Sublime 替换不支持条件逻辑（比如“若 $1==Mar 则输出 03”），硬写
Mar→03、Apr→04等 12 条替换规则太低效 - 真正需要 ISO 转换时，建议复制匹配结果到 Python/awk 里批量处理，例如：
date -d "Mar 15 10:23:45" +"%Y-%m-%dT%H:%M:%S" - 如果日志本身带年份（如
2024-03-15T10:23:45.123+08:00），直接用(\d{4}-\d{2}-\d{2}T\d{2}:\d{2}:\d{2})提取即可，无需转换
处理带毫秒或时区的时间戳（如 systemd journal 输出）
systemd 日志常用 2024-03-15T10:23:45.123456+0800 格式，毫秒位数不固定（6 位微秒，但常被截成 3 位），时区可能为 +0800、Z 或空缺。
推荐匹配模式：
(\d{4}-\d{2}-\d{2}T\d{2}:\d{2}:\d{2})(\.\d{1,6})?([+-]\d{4}|Z)?其中 $1 是主时间，$2 是可选毫秒，$3 是时区。替换时若想统一去掉毫秒和时区，写成 $1 即可；若要保留毫秒但标准化为 3 位，Sublime 做不到——$2 可能是 .123456 或空，无法做字符串截断。
- 别用
\.\d{3}强制匹配三位毫秒，会漏掉.1或.123456 -
Z和+0000含义相同，但替换时不能自动归一化，得靠后续脚本处理 - 如果日志混用多种格式（syslog + journal），先用多条正则分别提取，再统一清洗，比写一个“全能正则”更可靠
为什么不能依赖 Sublime 的 \b 或 \d 在所有场景
Sublime 使用的是 Boost.Regex 引擎，对 Unicode 和词边界支持有限。\b 在中文或混合字符日志里经常失效（比如 Mar 15 10:23:45 kernel: 后跟中文报错信息），\d 在某些编码下可能匹配全角数字。
更稳妥的做法是显式写范围：
[0-9]代替
\d，用 (? 和 <code>(?=\s|$) 替代 \b（Sublime 支持基本的零宽断言）。
- 例如匹配独立的
10:23:45，用(? - 避免在日志行中间出现类似时间的数字串（如 PID
102345）被误抓 - 如果日志含 UTF-8 非 ASCII 字符（如错误消息里的中文），正则开头加
(?-i)显式关闭忽略大小写，防止意外干扰
dmesg -T 才能加时间）。Sublime 适合快速预览和小批量修正，别指望它替代 awk 或 jq 做可靠的时间归一化。
