必须用 tail -n 100，因为它是唯一专为“从文件末尾读取”设计的 posix 标准命令；grep 仅匹配模式、cat 默认全量输出易卡死、mv 会重命名或移动文件导致内容丢失。
直接用 tail -n 100，不是 grep、cat 或 mv —— 后三者要么功能错位，要么会破坏文件。
为什么必须用 tail -n 100 而不是其他命令
tail 是唯一专为“从文件末尾读取”设计的 POSIX 标准命令；grep 只做模式匹配，cat 默认全量输出（大日志可能卡死终端），mv 是重命名/移动命令，执行即改名或覆盖，绝对不能用于查看。
常见错误现象：
- 运行
cat -100 a.log：报错cat: invalid option -- '1'，因为cat不支持数字行数参数 - 运行
grep -100 a.log：报错grep: invalid option -- '1'，grep的-100是非法选项 - 运行
mv -100 a.log：文件直接被重命名为-100，原内容丢失
tail -n 100 和 tail -100 有区别吗
没有实质区别：tail -100 是 tail -n 100 的简写形式，POSIX 兼容，所有主流 Linux 发行版（包括 CentOS、Ubuntu、Alpine）都支持。但注意：
-
-100只能用于正整数；想从第 500 行开始显示，必须写tail -n +500，不能写tail +500 - 如果脚本要长期维护或跨平台（如含 macOS），建议统一用
tail -n 100，更明确、不易歧义 -
tail -n 100 file.log和tail -100 file.log性能完全一致，底层调用同一逻辑
实际排查时经常漏掉的三个点
权限、编码、实时性——这三个问题不提前确认，tail 很可能“看起来执行成功”，但内容不对或根本看不到：
- 权限不足时会提示
Permission denied，尤其查/var/log/auth.log这类系统日志，得加sudo tail -n 100 /var/log/auth.log - 日志是 GBK 编码（比如某些 Java 应用在 Windows 下生成的日志传到 Linux），
tail直接读会乱码；先用file -i your.log看编码，再用iconv -f GBK -t UTF-8 your.log | tail -n 100 - 只看静态最后 100 行不够？加
-f实时跟踪：tail -n 100 -f app.log—— 先输出当前末尾 100 行，然后持续追加新内容，按Ctrl+C退出
想在最后 100 行里快速定位关键词怎么办
不要用 grep 单独扫全文件（慢且不准），而是管道组合：
- 查含
ERROR的行：tail -n 100 app.log | grep "ERROR" - 忽略大小写：
tail -n 100 app.log | grep -i "error" - 连带上下文（比如定位异常堆栈）：
tail -n 100 app.log | grep -i -C 3 "exception"，显示匹配行及前后各 3 行 - 实时过滤新增日志：
tail -n 100 -f app.log | grep -i "timeout"，适合线上紧急排查
注意：管道中 tail 先截出 100 行，grep 再处理这 100 行——顺序不能颠倒，否则 grep 会扫描整个大文件，效率断崖式下降。
