| 解析 | 时间字符串 → 数值，再排序 |
|---|---|
| 稳定键 | 行号或请求 ID 作为次序补充 |
排序示例
排序示例
awk '{print $1" "$2" "NR}' app.log | sort | head
# 或统一为 ISO 毫秒后再排序不同格式混排时先归一格式，否则排序结果不可靠。
毫秒级日志的顺序判定
应用日志带毫秒或微秒时，排序要按解析后的时间值而非字符串；同毫秒事件仍需按行号或请求 ID 保持稳定顺序。
易错点
- 字符串排序会把 9 排在 10 之后
- 跨天日志用 12 小时制会出现排序颠倒
数据来源与参考
- GNU sort 手册
- SANS 日志分析资料