Linux截取Nginx指定时间段日志的三种方法（grep/awk/sed）

在Linux中截取Nginx某段时间内的日志，常用的方法有 grep、awk 和 sed 三种，具体可以根据你的需求来选择。

首先，你需要知道Nginx日志的默认时间格式，例如：10/Nov/2024:10:12:33 +0800。

方法一：grep（最快，适合按小时/分钟截取）

grep 命令速度最快，最适合截取某个特定小时或分钟的日志。

bash 复制代码

# 1. 截取某一天的日志
grep "10/Nov/2024" /var/log/nginx/access.log

# 2. 截取某一天的某个小时（如 10:00 到 10:59）
grep "10/Nov/2024:10:" /var/log/nginx/access.log

# 3. 截取某一天的某个小时内的特定分钟（如 10:30）
grep "10/Nov/2024:10:30" /var/log/nginx/access.log

把结果保存到文件：

bash 复制代码

grep "10/Nov/2024:10:" /var/log/nginx/access.log > output.log

局限性 ：grep 不能精确截取一个时间段（例如10:00到10:02），它会包含整个小时或分钟的所有日志。

方法二：awk（最精确，适合任意起止时间）

awk 命令功能强大，可以精确截取任意指定的开始和结束时间，是最推荐的方法。

1. 精确截取（推荐）

bash 复制代码

# 截取 24/Mar/2019 17:00:00 到 17:02:00 的日志
awk '$4 >= "[24/Mar/2019:17:00:00" && $4 <= "[24/Mar/2019:17:02:00"' /var/log/nginx/access.log

2. 组合条件截取（更灵活）

如果日志量特别大，可以先用 egrep 筛选出日期，再用 awk 处理小时和分钟。

bash 复制代码

cat access.log | egrep "24/Mar/2019" | awk -F':' '$2 >= 17 && $3 >= 0 && $3 <= 2'

3. 截取最近N分钟的日志（自动化）

这个脚本使用 date 命令动态计算时间，适合写在定时任务里。

bash 复制代码

#!/bin/bash
# 截取最近10分钟的日志
ten_minutes_ago=$(date -d '10 minutes ago' '+%d/%b/%Y:%H:%M:%S')
awk -v start="$ten_minutes_ago" '$4 >= "["start' /var/log/nginx/access.log

方法三：sed（适合处理超大型日志文件）

当日志文件极大（几个GB）时，sed 按行处理可能比 awk 更高效。但需要注意，开始和结束时间必须在日志中真实存在，否则可能匹配不到或匹配到文件末尾。

bash 复制代码

# 截取 17:00:00 到 17:02:00 的日志
sed -n '/17:00:00/,/17:02:00/p' access.log

总结与建议

方法	适用场景	优点	缺点
`grep`	按整点、整小时快速查看	速度最快，命令简单	无法精确到秒级时间段
`awk`	精确的起止时间范围	最精准、最灵活	大文件处理速度略慢于`sed`
`sed`	处理超大日志文件	处理大文件效率高	依赖日志中的确切时间字符串

补充：如何按天自动切割日志？

如果你需要定期归档日志，避免文件过大，可以使用 logrotate 工具让Nginx日志按天自动切割。

bash 复制代码

# /etc/logrotate.d/nginx 配置文件示例
/var/log/nginx/*.log {
    daily          # 每天切割
    rotate 30      # 保留30份
    ...
}

参考：https://www.abtool.cn/article_detail/33.html