tail -n n 文件名是最常用可靠方式，直接读取末尾n行，不扫描全文，性能恒定；避免cat管道、空格缺失、乱码及logrotate导致的-f失效，应优先用-f。
直接用 tail -n N 文件名 就行，N 是你要看的行数，比如 tail -n 50 app.log 查最后 50 行——这是最常用、最可靠的方式，不用装额外工具，系统自带，秒出结果。
为什么不用 head 或 sed 直接取末尾？
因为 head 只能从开头截，sed -n 'x,y p' 需先知道总行数（大日志里 wc -l 很慢），而 tail 内部是反向读取文件末尾的块，不扫描全文，性能几乎恒定。
常见错误现象：
- 用
cat big.log | tail -n 100——多此一举，tail本身支持文件路径，管道反而增加开销 - 写成
tail -n100（中间没空格）——部分老 shell 会报错或行为异常，必须是tail -n 100或tail -100 - 查中文日志时乱码——不是
tail的问题，而是终端编码或日志本身非 UTF-8，可先运行file -i app.log确认编码
tail -f 实时跟踪新增日志时，怎么避免“卡住”或漏掉内容？
-f 本质是监听文件描述符，一旦日志被 logrotate 切割（比如 app.log → app.log.1），原进程就停在旧文件上不动了。
正确做法是用 -F（大写 F）：
linux-performance-analyzer
下载
Linux 性能分析与调优专家，覆盖 CPU、内存、磁盘 I/O、网络、内核参数、编译优化、容器/K8s。适用场景：系统卡顿/高负载、内存不足/OOM/Swap 高、CPU 异常/iowait 高。
-
tail -n 50 -F /var/log/nginx/error.log—— 先输出最后 50 行，再持续监听；即使文件被重命名/重建，也会自动切换到新文件 - 如果必须用
-f，且发现不再刷新，先ls -l看文件 inode 是否变化（stat 文件名对比st_ino），确认是否已被切割 - 别在脚本里无条件
tail -f后接grep然后赋值给变量——它不会退出，脚本会一直挂起
一次看多个日志文件的最后 N 行，怎么避免混淆？
用 -v 参数强制显示文件名前缀，尤其当文件名相似或路径长时：
tail -n 20 -v error.log access.log
输出类似：
==> error.log access.log <p>不加 <code>-v</code> 时，多文件输出之间只有空行分隔，容易看串；另外注意：</p>
- 通配符如
tail -n 10 *.log也默认带文件头，但顺序取决于 shell 展开结果（通常是字典序），不能保证按时间排序 - 如果某个日志权限不足（如
/var/log/auth.log），tail会报Permission denied并跳过该文件——别指望它静默失败，得自己检查错误输出
真正容易被忽略的是：日志行尾可能含不可见控制字符（比如 \r、ANSI 转义序列），导致 tail 输出错位或换行异常。这时加 -v（小写 v，显示非打印字符）能快速定位，例如 tail -n 10 -v app.log 会把 \r 显示成 ^M。别只盯着内容是否“看起来对”，得确认每行是否真以 \n 结束。
