这条命令对我有效（Suse）：

mail-srv:/var/log # tail -f /var/log/mail.info |grep --line-buffered LOGIN  >> logins_to_mail

收集邮件服务的登录信息

在这个问题上，考虑到这类工作是监控工作的重要组成部分，这是我（不那么简短）的回答。。。

使用bash跟踪日志

1.命令尾部

这个命令比在已经发布的答案上读到的要详细一点

手册页中选项tail-f和tail-f之间的区别：-f、 --跟随[=｛name | descriptor｝]随着文件的增长，输出附加数据；...-F与--follow=name相同--重试...--重试如果文件无法访问，则继续尝试打开该文件这意味着：通过使用-F而不是-F，tail将在删除时重新打开文件（例如，在日志旋转时）。这对于多天观察日志文件非常有用。能够同时跟踪多个文件我已经使用过：tail-F/var/www/clients/client*/web*/log/{error，access}.log/var/log/{mail，auth}.log\/var/log/apache2/{，ssl，other_vhosts_}访问日志\/var/log/pure-ftpd/transfer.log通过数百个文件跟踪事件。。。（考虑此答案的其余部分，以了解如何使其可读…；）使用开关-n（不要将-c用于行缓冲！）。默认情况下，尾部将显示最后10行。这可以通过以下方式进行调整：tail-n 0-F文件将跟随文件，但只打印新行tail-n+0-F文件将在跟踪他的进度之前打印整个文件。

2.配管时的缓冲问题：

如果您计划过滤组，请考虑缓冲！请参见sed的-u选项、grep的--line缓冲区或stdbuf命令：

tail -F /some/files | sed -une '/Regular Expression/p'

比在sed命令中不使用-u开关更具反应性（比使用grep效率高得多）。

tail -F /some/files |
    sed -une '/Regular Expression/p' |
    stdbuf -i0 -o0 tee /some/resultfile

3.最近的日志记录系统

在最近的系统上，您必须以几乎相同的方式运行journalctl-xf，而不是tail-f/var/log/syslog。。。

journalctl -axf | sed -une '/Regular Expression/p'

但请阅读手册页，该工具是为日志分析而构建的！

4.将其集成到bash脚本中

两个文件（或更多）的彩色输出下面是一个脚本示例，用于查看许多文件，第一个文件的颜色与其他文件不同：#!/bin/bash尾部-F“$@”|sed-une“/^==>/{h；}；//!{Gs/^\\（.*\\）\\n==>.*$｛1//\//\\\/｝.*<==/\\o33[47m\\1\\o33[0m/；s/^\\（.*\\）\\n==>.*<==//\\o33[47；31m\\1\\o33[0m/；p、 ｝"它们在我的主机上运行良好：苏多/myColoredTail/var/log/{kern.，sys}日志交互式脚本您可能正在查看日志以对事件做出反应？这里有一个小脚本，当一些USB设备出现或消失时播放一些声音，但相同的脚本可以发送邮件或任何其他交互，比如打开咖啡机。。。#!/bin/bashexec｛tailF｝<<（tail-F/var/log/kern.log）tailPid=$！而：；做read-rsn 1-t.3键盘[“${键盘，}”=“q”]&&中断如果读取-ru$tailF-t 0_；然后read-ru$tailF行case$行*新的\USB\device\found*）播放/some/sound.ogg；；*USB\disconnect*）播放/some/othersound.ogg；；欧洲安全理事会printf“\r%s\e[K”“$line”传真完成回响执行｛tailF｝<&-杀死$tailPid您可以按Q键退出。

是的，这实际上会很好。Grep和大多数Unix命令一次只能对一行流进行操作。每一条从尾部出来的线都会被分析，如果匹配的话就会被传递。

我一直使用tail-f<file>|grep<pattern>。

它会等到grep刷新，而不是等到它完成（我使用的是Ubuntu）。

我认为你的问题是grep使用了一些输出缓冲。尝试

tail -f file | stdbuf -o0 grep my_pattern

它将grep的输出缓冲模式设置为无缓冲。

如果你想在整个文件中找到匹配项（而不仅仅是尾部），并且你想让它坐下来等待任何新的匹配项，这很好：

tail -c +0 -f <file> | grep --line-buffered <pattern>

-c+0标志表示输出应该从文件开头（+）开始0字节（-c）。