如何在Notepad++中用正则匹配顺序异常的时间戳

问题背景 #

需要从日志中识别相邻行分钟相同但小时跳变的时序异常条目——这类条目不符合正常的时间递增/递减逻辑，属于异常日志。

示例日志 #

2024-01-19 13:09:22.616 Message="one"
2024-01-19 13:09:22.721 Message="two"
2024-01-19 14:09:22.814 Message="three"
2024-01-19 13:09:22.902 Message="four"

其中Message="three"是异常项：它与上下行的分钟均为09，但小时从13跳至14，随后又跳回13，不符合正常时序。

现有固定匹配正则 #

目前在Notepad++正则模式下，可通过以下正则匹配固定小时跳变的异常（比如13点跳至14点且分钟相同）：

\d\d 13:(\d\d):.*[\r\n]+.*14:\1

需求与失败尝试 #

需要扩展为通用匹配逻辑：捕获前一行的小时（第1组）、分钟（第2组），匹配下一行小时与第1组不同但分钟与第2组相同的异常。尝试的正则无法生效：

\d\d (\d\d):(\d\d):.*[\r\n]+.*(?:(?!\1)):\2

问题分析与修正方案 #

原正则的核心问题：(?:(?!\1))是零宽断言，仅检查当前位置后不是第1组内容，但未实际匹配两位小时数字。需调整为匹配两位数字且不等于捕获组1的小时的写法：

修正后的正则（适配Notepad++） #

^\d{4}-\d{2}-\d{2} (\d{2}):(\d{2}):.*\R.*(?!\1)\d{2}:\2

关键说明 #

• (?!\1)：负向预查，确保后续两位数字不等于第1组捕获的小时
• \d{2}：实际匹配两位小时数字，保证格式合规
• \R：替代[\r\n]+，适配Windows/Unix等不同换行符格式
• 前缀^\d{4}-\d{2}-\d{2} ：确保匹配完整日期前缀，避免误匹配日志中其他数字片段

内容的提问来源于stack exchange，提问作者Jotne