tail -f 是最直接轻量的实时日志监控方案，支持单文件追踪、多文件分屏、关键词过滤、时间筛选及错误堆栈捕获，结合 grep、multitail 或 trace id 可实现分布式联调精准排障。
tail -f 是 Linux 运维中最常用、最直接的日志实时追踪方式，它让终端持续输出文件末尾新增内容，无需手动刷新，特别适合监控服务日志（如 Nginx、Tomcat、Spring Boot 应用等）。
用 tail -f 实时看日志，核心就一条命令
在终端中执行：
tail -f /var/log/nginx/access.log
执行后，光标停在最后一行不动，只要日志有新内容写入，就会自动追加显示。按 Ctrl+C 可退出追踪。
tail -f 的实用增强技巧
- 同时监控多个日志文件：用空格分隔路径，例如 tail -f /var/log/syslog /var/log/auth.log，不同文件的输出会用头部分隔（如 ==> /var/log/syslog ）
- 只看最新 N 行再开始追踪：加上 -n 参数，比如 tail -n 50 -f /var/log/messages，先显示最近 50 行，再持续监听新增
- 忽略文件截断（如 logrotate 后重启写入）：加 --follow=name --retry，更稳妥地应对日志轮转，常用组合是 tail -F /var/log/myapp.log（-F 等价于 --follow=name --retry）
head 和 tail 配合快速定位关键信息
head 本身不支持“实时”，但它常和 tail 搭配做初步分析：
- 查日志开头格式或初始状态：head -n 10 app.log
- 结合管道过滤关键行：tail -f app.log | grep "ERROR"，只关注含 ERROR 的新增日志
- 查看某次异常前后的上下文：tail -n 200 app.log | head -n 50，取末尾 200 行中的前 50 行（即倒数第 200 到 151 行）
注意几个常见问题
- 权限不足？用 sudo tail -f /var/log/secure（确保用户有读取权限）
- 日志没更新？确认服务确实在写日志，且未被重定向或缓冲（如 Java 应用需检查 logback 的
immediateFlush） - 终端卡住或乱码？可能是日志含控制字符，可加 -c（按字节）或用 less +F 替代（支持搜索和退出更灵活）
