高频报错排查应先用grep精准筛选4xx/5xx错误行，再用awk按ip、接口路径、状态码等字段聚合统计，结合upstream_status和时间维度追根溯源，并注意gzip日志、真实路径、正则边界及error.log联动分析。
快速排查高频报错，关键不是逐行翻日志，而是用 grep 定向过滤 + awk 聚合统计 两步联动：先精准捞出异常行，再按维度（如状态码、IP、接口路径）算出频次排序，一眼锁定问题源头。
一、先用 grep 快速筛出所有 4xx/5xx 报错行
别直接扫全量日志。Nginx access.log 中状态码固定在第 9 字段，加空格锚定可避免误匹配（比如“5020”或“1502”）：
- 查全部 4xx：grep ' 4[0-9][0-9] ' /var/log/nginx/access.log
- 查全部 5xx：grep ' 5[0-9][0-9] ' /var/log/nginx/access.log
- 合并查并高亮：grep --color=always ' [45][0-9][0-9] ' access.log
- 排除干扰（注释、空行、健康检查）：grep -v "^#" access.log | grep -v "^$" | grep ' [45][0-9][0-9] '
二、用 awk 按字段聚合，定位高频项
grep 只负责“找出来”，真正看出问题得靠 awk 切字段+统计。默认格式下，常用字段位置是：=IP，=请求路径，=状态码，=User-Agent：
- 统计各状态码出现次数（看哪类错误最多）：awk '{print $9}' access.log | sort | uniq -c | sort -nr
- 查高频报错 IP（前 10）：awk '$9 ~ /^[45][0-9]{2}$/ {print $1}' access.log | sort | uniq -c | sort -nr | head -10
- 看哪个接口路径失败最多：awk '$9 ~ /^[45][0-9]{2}$/ {print $7}' access.log | sort | uniq -c | sort -nr | head -10
- 提取失败请求的 User-Agent（判断是否为爬虫或工具）：awk '$9 ~ /50[0-3]/ {print $12}' access.log | sort | uniq -c | sort -nr | head -5
三、结合时间与 upstream_status 追根溯源
只看 $status 是表层。若日志中启用了 $upstream_status（需 log_format 包含），可进一步区分是 Nginx 自身问题还是后端导致：
- 筛选 502 且 upstream_status 为空（说明根本没连上后端）：awk '$9 == "502" && $11 == "-" {print $1, $4, $7}' access.log（注意：$11 是 upstream_status 的常见位置，需根据实际 log_format 确认）
- 按小时统计 5xx 数量，定位突增时段：awk -F'[' '{gsub(/]/,"",$2); print substr($2,1,13), $9}' access.log | awk '$2 ~ /^5[0-9]{2}$/ {h[$1]++} END {for (t in h) print t, h[t]}' | sort
四、绕过常见坑，让命令真正快起来
慢往往不是因为日志大，而是操作不精准：
-
别漏 gzip 日志：归档文件如
access.log.1.gz要用 zgrep ' 50[0-3] ' access.log.1.gz，不能直接 grep - 别硬写路径：先运行 grep -E "(access_log|error_log)" /etc/nginx/nginx.conf 确认真实路径
-
别盲目正则：匹配 IP 或路径时加行首
^和分隔符空格，例如 grep -E "^10\.0\.0\.1[[:space:]]" access.log - 别跳过 error.log：5xx 高频时，同步查 grep "upstream.*refused\|timeout\|50[0-4]" /var/log/nginx/error.log
