grep是Linux下轻量高效的日志筛选工具，支持基础匹配、正则抽取、上下文分析、多文件扫描及管道增强五类方法，适用于错误定位、字段提取与语义分析。
如果您需要从大量日志文件中快速定位特定事件、错误码或用户行为，grep 是 Linux 下最轻量且高效的文本筛选工具。以下是多种基于 grep 的关键信息提取方法：
一、基础模式匹配提取
该方法适用于已知精确关键词（如错误码、服务名、IP 地址）的场景，通过固定字符串匹配快速过滤行。
1、在 access.log 中提取所有包含 "500" 的请求行：grep "500" /var/log/nginx/access.log
2、提取含 "ERROR" 且不区分大小写的日志行：grep -i "error" /var/log/syslog
3、仅显示匹配行的行号与内容，便于定位上下文：grep -n "Connection refused" application.log
二、正则表达式精准抽取结构化字段
当目标信息具有固定格式（如时间戳、邮箱、URL 路径），使用扩展正则可避免误匹配，提升提取精度。
1、提取形如 "2024-06-15T14:23:08" 的 ISO 时间戳所在整行：grep -E "[0-9]{4}-[0-9]{2}-[0-9]{2}T[0-9]{2}:[0-9]{2}:[0-9]{2}" audit.log
2、抽取日志中的 IPv4 地址（含边界限制，防止匹配到 192.168.1000.1 这类非法地址）：grep -oE '\b([0-9]{1,3}\.){3}[0-9]{1,3}\b' nginx.log
3、匹配以 "user=" 开头、后跟非空格字符的字段值：grep -oE 'user=[^[:space:]]+' auth.log
三、组合选项实现上下文关联分析
单靠匹配行往往不足以判断问题根因，通过显示匹配行前后若干行，可保留调用栈、请求链路等上下文信息。
1、显示每个匹配 "timeout" 行及其前 2 行和后 1 行：grep -A 1 -B 2 "timeout" app.log
2、仅输出匹配行的后 3 行（常用于查看堆栈跟踪）：grep -A 3 "Exception" java.log
3、排除包含 "DEBUG" 的行，再筛选含 "WARN" 的行，实现条件过滤：grep "WARN" service.log | grep -v "DEBUG"
四、多文件并行扫描与结果去重
面对分散在多个归档或轮转日志中的数据（如 messages-20240601、messages-20240602），需统一处理并消除重复线索。
1、在当前目录所有 .log 文件中搜索 "disk full" 并标注来源文件名：grep "disk full" *.log
2、递归搜索 /var/log/ 下所有层级中包含 "out of memory" 的行：grep -r "out of memory" /var/log/
3、合并多个日志中匹配的 IP 地址并去重统计频次：grep -oE '\b([0-9]{1,3}\.){3}[0-9]{1,3}\b' *.log | sort | uniq -c | sort -nr
五、结合管道与专用工具增强语义识别
grep 本身不解析语义，但与 cut、awk、sed 等配合，可完成字段切分、数值比较、格式转换等进阶提取任务。
1、从每行日志中截取第 4 个空格分隔字段（通常为时间）并去重：grep "FAILED" secure | awk '{print $4}' | sort -u
2、提取含 "response_time" 的行，并只保留冒号后的毫秒数值：grep "response_time" api.log | sed -n 's/.*response_time: \([0-9]\+\).*/\1/p'
3、筛选出响应时间超过 2000ms 的请求行：awk '$NF > 2000 {print}'
