1. grep到底是什么——理解它的核心工作方式在命令行世界里混久了你会发现一个尴尬的事实真正能提升日常效率的小工具其实没几个而grep绝对是最值得花半小时搞透的那一个。不管你是刚接触Linux的运维新手还是天天在终端里敲命令的开发者grep都是绕不开的一道门槛。它的全称是“global regular expression print”翻译过来就是“全局正则表达式打印”但说人话就是你给它一段文本它帮你按规则找出你关心的那几行。很多人第一次用grep是在某个教程里看到了类似grep error app.log这样的命令于是形成了一个直觉grep就是“在文件里搜关键词”。这个理解没错但太浅了。grep真正厉害的地方在于它是命令行世界里少数几个“可以独立使用、也可以嵌入任何工作流”的万能部件。你可以用它查日志、查配置、查进程、查硬件信息也可以在shell脚本里用它做条件判断还可以把它和awk、sed、sort、cut这些命令串成一条流水线。这个工具适合谁说实话只要你的工作和“终端”沾边就都适合。刚入门的人可以用它快速在配置文件里找内容资深用户可以用它写出精炼的脚本逻辑。我在实际干活的时候几乎每天都会用到grep查日志、定位问题、写脚本、检查命令输出几乎每个环节都有它的身影。1.1 把grep理解成一台带探照灯的传送带如果你没用过grep脑子里可以想象这样一个场景有一条传送带上面铺满了文本行每行写着不同的内容。你要做的是在一堆行里找出包含特定字样的那些线。grep就是那台探照灯它把每一行都照一遍发现符合条件的就“拿”出来给你看不符合的就让它继续留在传送带上。这台“探照灯”还支持很多调节旋钮比如不区分大小写、只打印匹配的那一小段而不再是整行、递归搜索目录下的所有文件、显示匹配行所在的行号。理解了这台“传送带”之后你再去看grep的各种参数就不会觉得乱因为所有参数本质上都只是在控制“照”的方式和“拿”出来的形式。实际使用中grep处理的对象有两大类一类是文件比如grep 关键字 /etc/nginx/nginx.conf另一类是标准输入也就是管道传过来的内容比如ps aux | grep nginx。两种用法一个作用都是“按规则找内容”。1.2 grep在命令行里的三个典型角色grep在真实工作中扮演的角色我归纳成三个理解了这三个角色你就知道什么时候该用它。第一个角色是“内容检索器”。在日志文件、代码文件、配置文件里找关键词这个最简单也最常用。比如服务报错了你去日志里搜ERROR配置不生效你去配置里搜对应的server_name。第二个角色是“管道过滤器”。当某个命令输出了一大堆内容你想从里面捞出来真正关心的一小部分就把输出管道给grep。比如dmesg | grep -i usb查看USB相关的内核日志lspci | grep -i amd查看AMD设备信息netstat -tulnp | grep :3690检查某个端口是否在监听。这些场景里grep做的是“漏斗”的工作把大海捞针变成探囊取物。第三个角色是“脚本判断器”。在shell脚本里grep经常被用在if判断中。比如你想知道某个文件里是否包含特定配置项或者某个进程是否还活着都可以用grep -q来提高脚本的执行效率因为-q模式只返回成功或失败不输出任何内容。2. 用起来再说grep最常被用到的选项速查2.1 从最简单的一条命令开始假设你有一个日志文件app.log你想看里面有没有timeout相关的记录你可以这样写grep timeout app.log就这么简单。grep会把文件里所有包含timeout这个字符串的行打印出来。如果你在命令行敲完这条命令半天没反应先别急着以为grep坏了很可能它还在扫描一个大文件或者你忘加了一个合适的参数。我再给你一个比较实用的变体如果想知道匹配到了几行加-c参数如果想知道每一行在文件里的行号加-n参数如果想顺便看看匹配行附近的内容到底是什么用-C 3匹配行前3行和后3行或者-A 3只打印后面的3行、-B 3只打印前面的3行。grep -n -C 3 timeout app.log这个命令在实际排错时非常实用尤其是看日志里的异常堆栈光看报错行往往看不出上下文看前后几行才能还原现场。2.2 高频选项速查表为了让你不用去翻那本又厚又全的man手册我把日常使用频率最高的选项整理成了一张表。这张表值得你保存下来或者干脆抄到自己的笔记里。选项作用一条命令示例-i忽略大小写grep -i error app.log-n输出匹配行行号grep -n error app.log-c统计匹配行数量grep -c error app.log-v反向匹配取不包含关键字的行grep -v INFO app.log-r递归搜索目录下所有文件grep -r root /etc/nginx/-l只列出包含匹配内容的文件名grep -l error /var/log/*.log-o只输出匹配到的部分而不是整行grep -o [0-9]\ app.log-E使用扩展正则grep -E error|warning app.log-q静默模式不输出结果只返回退出状态码grep -q error app.log echo found-w整词匹配避免部分匹配grep -w cat words.txt-x整行匹配行内容必须完全一致grep -x hello world test.txt-A 数字显示匹配行后面的N行grep -A 5 ERROR app.log-B 数字显示匹配行前面的N行grep -B 5 ERROR app.log-C 数字显示匹配行前后各N行grep -C 3 ERROR app.log我特别想提醒一下-l这个选项。当你面对一堆日志文件不知道问题到底出在哪个文件里时grep -l 关键字 /目录/*.log能帮你快速锁定目标文件。它不做全文打印只输出“哪些文件里有”这在处理海量日志时能节省大量时间。2.3 输出控制的几个细节grep默认把匹配到的整行内容打印到终端但有些时候你并不想看到一整行。比如某一行里有大量无关内容你只关心其中某个字段这时候可以用-o把匹配到的部分单独截出来。举个例子从一个访问日志里提取所有IP地址grep -o 192.168\.[0-9]\\.[0-9]\ access.log这条命令会把每一行里符合IP格式的那段内容打印出来而不是一整行。-o参数在提取结构化信息时特别有用配合sort和uniq -c还能快速统计频率。另外如果你不想让grep把文件名打印出来可以试试在搜索单个文件时不留文件名搜索多个文件时默认会带文件名。想要精确控制就用-h不打印文件名和-H强制打印文件名两个选项。这个细节在脚本里处理变量时经常踩坑用完以实测为准。3. 正则才是grep的灵魂如果你学grep只学会了搜固定字符串那它的功力你只发挥了三成。grep真正强大的地方在于它支持正则表达式能用一套非常简洁的符号匹配出各种复杂模式。可以这么理解固定字符串匹配就是“请找出所有写着‘苹果’的行”正则匹配则是“请找出所有苹果、香蕉、橘子都有的行或者以‘果’字结尾的行”。3.1 基础正则和扩展正则的区别Linux下的grep默认使用“基础正则表达式”BRE而grep -E或egrep使用“扩展正则表达式”ERE。两者的区别主要在于一些元字符的转义方式。在基础正则里?、、{、|、(、)这些符号需要加反斜杠才有特殊含义。比如你要匹配“color”和“colour”用基础正则要写成grep colou\?r readme.txt而用扩展正则就可以省掉反斜杠grep -E colou?r readme.txt这类转义区别是新手最容易踩坑的地方。我建议你从一开始就直接养成用-E的习惯因为扩展正则的可读性更高写起来也更顺手。如果你写的正则半天不出结果先检查一下是不是漏了-E这是最常见的低级错误。3.2 字符类、锚点、量词让匹配更精确字符类用方括号表示意思是从中选一个字符。[0-9]代表任意一个数字[a-zA-Z]代表任意一个英文字母[^0-9]代表任意一个非数字。量词用来控制前面的字符出现多少次。*表示前面的字符出现0次或多次表示出现1次或多次扩展正则?表示出现0次或1次。花括号可以精确控制次数\{3\}表示正好3次\{2,5\}表示2到5次。锚点用来锁定位置。^匹配行首$匹配行尾。想找到空行用^$想找到以ERROR开头的行用^ERROR想找到以句号结尾的行用\.$。组合起来的威力很大。比如你想查日志里所有HTTP状态码是4开头的请求行可以这样grep -E HTTP/1\.1\ [4][0-9]{2} access.log这种精确控制是固定字符串做不到的。现实中的日志格式千奇百怪同一个错误可能有好几种写法用正则一批就全捞出来了。3.3 分组与“或”逻辑一次匹配多种模式扩展正则里的|表示“或”的关系括号用于分组。这在实际排错时能节省大量时间。举个例子你想在日志里一次搜出ERROR、FATAL和WARN三种级别的记录可以这样写grep -E ERROR|FATAL|WARN app.log如果要匹配一组有共同前后缀的单词用括号分组更清晰。比如想同时匹配init、initial、initialize可以写成init(ial|ialize)?。当然实际场景中更常见的是这样grep -E (timeout|refused|denied) network.log我自己在排查问题时经常把一组可能的关键词用括号包起来用|隔开一条命令就能扫完所有可能性不用一条一条去试。3.4 正则写得越多逻辑越要小心正则是很强大但写正则的时候一定要保持清醒因为表达式越复杂越容易出现“匹配到不该匹配的东西”这种尴尬情况。一个典型问题是贪婪匹配。默认情况下量词是贪婪的会尽可能多地匹配字符。比如你有这样一行内容div标题一/divdiv标题二/div用grep -E div.*/div去匹配很可能匹配到的是整行因为它从第一个div开始一直吃到最后一个/div才停下。要想让.*只匹配到最近的/div正则本身没有“非贪婪”语法PCRE里才有.*?所以你在grep里处理这类问题时要么换个思路把匹配范围缩小比如用div[^]*/div要么接受整行匹配后再用其他命令二次提取。另一个容易出现的问题是转义。.在正则里是“任意一个字符”的意思想匹配真正的点号必须写成\.。同理想匹配$、^、[等符号都需要反斜杠。很多人在配置文件里搜IP时写出grep 192.168.1.1结果把192.168X1Y1这种无害的行也匹配出来了就是忘了转义点号。4. 把grep嵌入到工作流管道、脚本与系统排查4.1 管道组合grep最常见的搭档grep在命令行里很少单独出现更多时候是跟在某个命令的管道后面。管道的作用是把前一个命令的输出当作后一个命令的输入grep则在这一环节担任过滤器。最常见的组合你十有八九用过ps aux | grep nginx这条命令用来查看nginx相关的进程。如果没有管道ps aux输出全部进程信息量大且杂乱光靠肉眼找效率极低。加一个grep之后屏幕上只剩包含“nginx”的行。我有个经验想分享ps aux | grep xxx的输出结果里大概率会出现一行“grep xxx”自己。这是因为grep命令本身也是一个进程你的管道里同时包含了它自己它搜到“xxx”这个关键字时自然也把自己匹配出来了。这时候用ps aux | grep -v grep | grep nginx可以过滤掉grep自身的行或者干脆用pgrep nginx来处理这种场景。这个问题我在后面“常见问题”里还会细说。再举一个更贴近实际的例子。排查端口时网络热词里出现了netstat -tulnp | grep :3690这条命令的作用是查看3690端口是否有进程在监听。netstat -tulnp显示所有监听端口和连接状态内容很多加了grep :3690后直接就锁定了目标端口。4.2 grep在shell脚本里的典型用法grep在脚本里最常见的用法是做条件判断。你可能需要在执行某项操作前先确认某个软件已安装、某个配置文件已存在、某个服务是否在运行。这时候-q参数就派上了用场它让grep只返回退出状态码0表示匹配到1表示没匹配到不打印任何输出。打个比方你想在脚本里判断系统是否安装了nginxif command -v nginx /dev/null 21 nginx -v 21 | grep -q nginx version; then echo nginx 已安装 else echo nginx 未安装 fi这里用到了grep的静默模式配合管道把nginx -v的输出注意版本信息是输出到标准错误流的传给grep做匹配。-q模式因为没有实际输出所以很适合用在条件判断里既快又干净。另一个典型的脚本用法是统计。比如你想统计日志里今天出现多少次ERRORERROR_COUNT$(grep -c ERROR app.log)如果你的日志是按天切分的甚至可以循环遍历多天的日志文件把每天的ERROR数量汇总。这种场景下grep的-c参数配合shell的循环能帮你快速生成一份简单的趋势数据。4.3 排查系统信息的实战套路grep在系统排查中的用途非常广我分享一下惯用套路。第一个场景是查看版本信息。很多命令的版本输出是一大段文字但你只关心版本号比如uname -a | grep -i linux cat /etc/os-release | grep -E ^(NAME|VERSION)注意grep -E ^(NAME|VERSION)这里用了行首锚点和“或”逻辑一次性提取出操作系统名称和版本号。如果你在vCenter命令行、ESXi或其它Linux发行版上查看版本思路都是一样的先输出全部信息再用grep筛选。第二个场景是硬件信息排查。网络热词里出现了lspci | grep -i amd这是查看机器上是否有AMD相关设备显卡、芯片组等的常用命令。我用这类命令排查过很多次机器硬件配置问题。要注意的是lspci输出的设备类别里“AMD”不一定每次都能匹配到因为有些设备型号里只有芯片代号没有直接写“AMD”。这时候可以用lspci | grep -i VGA\|Display先看显示设备再根据具体型号进一步排查。第三个场景是服务状态和端口排查。ss -tulnp | grep :3690或者老一点的系统用netstat -tulnp查看端口是否在监听。如果命令敲完没结果通常说明当前用户权限不够需要加sudo。这个坑我踩过很多次网络热词里的lspci | grep -i amd 无反应大概率也是权限问题加上sudo之后就能正常输出了。第四个场景是日志关键词统计和过滤。按小时级别统计日志里某个关键词出现的频率可以这样写grep 2025-06-01 09: app.log | grep -c timeout先筛出某个时间段的所有日志行再在其中统计错误数量。这种两段式过滤在实际分析问题时很常用而且效率也不差。5. 那些年我踩过的坑常见问题与排查技巧5.1 大小写、整词和转义三个最“冤枉”的错误先说大小写问题。默认情况下grep是区分大小写的也就是说grep error搜不到ERROR、Error。我见过不少人排查半天最后发现只是大小写没匹配上。解决方式很简单拿不准的时候直接加-i忽略大小写匹配比如grep -i error app.log。再说整词匹配。如果你搜cat默认情况下它会匹配到concatenate、catch、location这些中间含有cat的单词。想精确匹配整词用-w参数。这个参数在处理代码里的变量名、配置文件里的单词时非常实用。最后说转义。这是我觉得最需要单独写一段提醒的问题。如果你在配置文件里搜一个带点号的字符串比如server.foo.com不加转义直接搜的话点号会被当作“任意字符”来处理。表面上例子看起来能搜到但可能把serverXfooXcom这种行也匹配出来。安全做法是写成grep -F server.foo.com nginx.conf-F参数表示“固定字符串匹配”意思是把引号里的内容当作普通字面量不做任何正则解释。当你明确就是搜一个纯字符串、不需要正则的时候用-F最保险既能避免转义问题还更抗误判。5.2 二进制文件、中文和乱码grep处理文本文件是默认行为但如果你用grep -r去递归搜索一个目录而其中某个文件是二进制文件比如编译产物、图片、压缩包grep默认会输出一个提示“Binary file xxx matches”然后不做进一步处理。你可能会疑惑为什么搜不到内容解决方法是加-a参数强制把二进制文件当作文本来处理。但我要提醒一句对二进制文件强行文本搜索往往会输出一堆不可读的乱码实际用处不大。更好的做法是用-l只看哪些文件匹配了然后单独处理这些文件。中文乱码是另一个隐藏问题。如果你的日志文件不是UTF-8编码而是GBK或者其它编码格式grep搜索中文关键词时可能会失败因为字节序列对不上。这种情况下要么先把文件转码再搜比如iconv -f GBK -t UTF-8 file.log | grep 关键词要么直接用grep -a碰碰运气。在排查老系统时这类编码问题很常见别一上来就怀疑grep坏了。5.3 匹配不到内容先检查这三个地方遇到grep搜不到内容我排错的顺序是固定的。第一确认搜索范围。文件路径写对了没有目录路径对吗如果搜的是目录而忘了加-rgrep会直接报错告诉你“xxx is a directory”因为你没告诉它要递归搜索。第二确认关键词本身没问题。先把关键词拆成最小片段去搜比如把server timeout拆成timeout如果最小片段也搜不到那就是文件内容里根本没有这个词不是grep的问题。第三确认编码和隐藏字符。用cat -A或者vim查看文件时注意行尾是否有^MWindows换行符中文文件是否有BOM头。这些不可见字符经常会干扰匹配尤其是从Windows环境拷贝过来的脚本文件\r这种回车符会让整行的结尾和你预期的$匹配不成功。5.4 grep自身的进程匹配问题前面提到过ps aux | grep nginx会匹配到grep自己。这个问题不止影响阅读在脚本里还会造成逻辑错误。比如你想判断nginx是否在运行if ps aux | grep -q nginx; then echo nginx running fi这段脚本几乎永远都成立因为grep -q nginx在执行时自己的命令行里就包含“nginx”这个字符串所以ps aux的输出里一定有它自己所在的那一行。解决方法很简单匹配进程名时用[n]ginx这种技巧。ps aux | grep [n]ginx这个技巧的原理也很简单方括号里的字符组只会匹配任意一个字符所以[n]ginx只能匹配到真正叫“nginx”的进程却匹配不了命令行里写着grep [n]ginx的grep进程本身因为它的字符串内容是[n]ginx而不是nginx。这个写法我第一次看到时觉得有点花活但用久了真是香强烈建议记下来。6. 写在最后我个人的几个使用习惯工具学到一定阶段拼的不是功能多熟悉而是用它的方式和习惯。我在实际工作中总结了几条和grep相处的心得分享给你。第一永远先想清楚“我要过滤什么留下什么”。grep的输出方向只有两个留下匹配的或者用-v去掉匹配的。有些问题用正向匹配不好写但反向匹配却很简单。比如你想看日志里除了INFO级别以外的所有内容grep -v INFO就比写一个排除INFO的正则简单得多。第二遇到复杂的正则先小范围测试再上生产数据。我会先构造一个只有几行的样例文件在样例上反复试正则确定无误后再拿去跑真正的日志。直接拿几GB的业务日志去跑一条没验证过的正则等它跑完发现匹配结果不对时间成本太高了。第三学会用别名和函数把高频grep固定下来。我在自己的shell配置里加了两个别名alias grepgrep --colorauto alias grep-intensegrep -E -i --colorauto -n--colorauto让匹配的字符在终端里高亮显示这可不是为了好看是真的能大幅提升阅读效率。尤其是复杂的日志输出中匹配点一目了然省得再瞪着眼睛找半天。第四别把grep神话。它是定位问题的侦察兵不是解决问题的将军。grep帮你找到可疑的行接下来还得靠看上下文、结合别的命令去分析原因。理解了它的边界用起来反而更踏实。最后再分享一个小技巧。当你面对一个超大日志文件grep起来有点慢的时候可以先检查文件具体有多大然后试试用LC_ALLC grep这条命令。设置LC_ALLC可以跳过locale相关的处理在匹配纯ASCII字符时速度会有明显提升。日常文件感觉不到差别但几十GB的日志文件体感还是明显的。grep这个东西入门容易精通难但只要你肯花一点时间把正则和常用选项吃透它会在每一次命令行操作里回报你。这篇内容里提到的所有命令建议你都在自己的机器上敲一遍哪怕只是构造一个临时文件来测试。工具这东西光看不用永远都是别人的。