mac终端实时过滤日志核心是log stream配合--predicate源头过滤或管道grep高亮，因macos 10.12+日志已统一为二进制数据库，不再持续写入纯文本文件；tail -f仅适用于少数自定义或传统服务日志。
mac 终端按关键字实时过滤日志，核心是用 log stream 配合谓词（--predicate）或管道（|）加 grep，而不是传统 tail -f——因为 macos 10.12+ 的系统日志已统一为二进制数据库，不再持续写入纯文本文件。
用 log stream + --predicate 精准源头过滤
这是最高效的方式：过滤在日志生成时就完成，不传输无关条目，CPU 占用低、响应快。
- 只看含 “error” 的所有实时日志：
log stream --predicate 'eventMessage contains[c] "error"' - 限定某进程且含关键词，例如 Safari 崩溃相关：
log stream --predicate 'process == "Safari" AND eventMessage contains[c] "crash"' - 同时匹配多个词（OR 逻辑），比如失败或拒绝：
log stream --predicate 'eventMessage contains[c] "fail" OR eventMessage contains[c] "denied"'
用 log stream + grep 高亮关键信息
适合需要视觉强化、或 predicate 表达式写起来较复杂的情况。注意必须加 --color=always 才能在管道中保留高亮。
- 实时抓错误并高亮 “panic”、“timeout”、“failed”：
log stream --level error | grep --color=always -i "panic\|timeout\|failed" - 想同时显示上下文行（如前1行后2行），可加
-A 2 -B 1：log stream --level fault | grep -A 2 -B 1 --color=always -i "kernel" - 避免终端刷屏过快导致漏看，可临时加
less分页（但会中断实时流）：
先运行命令，发现信息密集时按Ctrl+C停止，再改用log show --last 5m | grep ... | less回溯
补充：什么时候才用 tail -f？
仅适用于少数仍写入传统文本日志的程序，比如你自己写的脚本、Homebrew 服务或部分开源工具（如 nginx、rsync 日志）。系统级日志基本不走这条路。
- 查看自定义服务日志（需 sudo）：
sudo tail -f /usr/local/var/log/nginx/error.log - 配合 grep 实时过滤：
sudo tail -f /var/log/system.log | grep -i "usb"（注意：该文件在新版 macOS 中已基本停更，仅作兼容保留） - 若日志路径不确定，先用
log show --last 1m | grep path查找线索，或检查服务文档确认输出位置
小技巧：让过滤更稳更省力
实际排查时，几个习惯能明显提升效率：
- 终端窗口标题设为关键词，比如重命名标签为 “WiFi error” 或 “App crash”，避免切错窗口
- 把常用命令存成别名，例如在
~/.zshrc中添加：alias logsafari='log stream --predicate "process == \"Safari\" AND eventMessage contains[c] \"error\""'，之后直接输logsafari就启动 - 遇到日志突然停止滚动，不是命令失效，而是 Unified Logging 暂停推送（常见于休眠唤醒后），按
Ctrl+C再回车重跑即可
