| 用途 | 把半结构化日志变成可筛选字段 |
|---|---|
| 工具 | jq / awk / 平台解析器 |
jq 聚合
jq 聚合
zcat app.jsonl.gz | jq -r '[.ts,.user,.action,.src_ip]|@tsv' | sort | uniq -c | sort -rn | head -20先抽查字段命名是否随时间变过，再全量聚合。
JSON 行日志结构化解析
现代应用多以 JSON Lines 输出：先用结构化工具解析字段，再按时间与主体聚合，能大幅减少人工翻找。
易错点
- 字段名或结构变更会让聚合结果错位，先做版本抽查
- 超大文件直接 jq 较慢，先按时间粗筛再细解
数据来源与参考
- jq 手册