Linux 如何统计系统上各个用户登录（或者登出）记录出现的次数？

命令

shell 复制代码

last  | grep -v "^$" | awk '{ print $1 }' | sort -nr | uniq -c

逐段解析

last

从 /var/log/wtmp（或者对应的系统登录日志）中读取并列出最近的登录、重启、关机等记录。
每行开头通常是用户名，例如：

shell 复制代码

alice    pts/0        192.168.1.5     Tue Jul 22 10:15   still logged in
bob      tty1                          Mon Jul 21 09:00 - 17:00  (08:00)
reboot   system boot  5.11.0-27-generic Tue Jul 22 09:00

grep -v "^$"

^$ 匹配"空行"。
-v 表示"取反"，也就是去掉所有空行。
这样做主要是防止后面处理时碰到空行导致多余的空白用户名。

awk '{ print $1 }'

将每一行按空白（空格或制表符）拆分字段，$1 就是第 1 个字段------用户名（或者特殊条目如 reboot、shutdown 等）。
输出后的结果是一列用户名，例如：

alice
alice
bob
reboot
alice

sort -nr

sort 用来对前一步的用户名列表进行排序。
-n 按"数值"排序，-r 倒序（从大到小）。
虽然此处每行都是字符串用户名，不是纯数字，但 sort -nr 会尝试把整行当数字比较，遇到非数字时效果可能与 sort -r 接近（把"字母行"视作 0 排在后面）。
这里本意是先把相同用户名聚在一起（任何 sort 都可）；如果想按照出现次数倒序，应该在 uniq -c 后再加一次 sort -nr。

uniq -c

uniq 用来把相邻的相同文本行合并，并加上出现次数。
-c 选项会在每行前面打印该行重复的次数。
例如，将上面的用户名列表：

alice
alice
alice
bob
reboot

经过 uniq -c 会得到：

复制代码

  3 alice
  1 bob
  1 reboot

整体作用

读取登录记录 → last
去掉空行 → grep -v "^$"
提取用户名 → awk '{print $1}'
（先行）排序以便于计数 → sort
统计每个用户名出现的次数 → uniq -c

典型应用场景：

找出最活跃的用户
检测异常频繁登录（如暴力破解）
审计系统访问情况
统计服务器用户活动频率

最终输出形如：

复制代码

 123 alice
  45 bob
  10 charlie
   2 reboot

表示 alice 的登录/登出记录出现了 123 次，以此类推。可以进一步在输出后面再加一个 | sort -nr，就能让出现次数多的用户排在最上面，更直观地看到"谁最常登录"：

shell 复制代码

last | grep -v "^$" | awk '{print $1}' | sort | uniq -c | sort -nr

这样就完成了从登录记录到按频率排名的全流程统计。

对于大型系统，可以使用更高效的工具组合：

shell 复制代码

last -w | cut -d' ' -f1 | grep -v '^$' | sort | uniq -c | sort -nr

-w：显示完整用户名（避免截断）
cut -d' ' -f1：比 awk 更轻量级的字段提取工具

实用场景：

安全审计：检测异常登录行为

shell 复制代码

# 检查root登录
last | grep -v "^$" | awk '$1=="root"{print}' | wc -l

排除系统账户（仅统计真实用户）：

shell 复制代码

last | grep -v -E "^(reboot|wtmp|^$)" | awk '{print $1}' | sort | uniq -c | sort -nr

按时间段统计：

shell 复制代码

# 统计本月登录
last -s $(date +%Y-%m-01) | grep -v "^$" | awk '{print $1}' | sort | uniq -c | sort -nr