非有序日志文件按日期范围筛选日志的方法求助（awk命令失效）

你的问题核心在于直接用字符串比较日期会因为月份缩写的字母顺序和实际时间顺序不匹配（比如"Jul"的字符串比"Jun"小，但实际七月在六月之后），同时日志未排序也会导致部分符合条件的行被误判。下面提供两种可行方案：

方案一：直接转换日期为时间戳筛选（保留原日志顺序） #

这种方法不需要排序日志，通过把日期转换为Unix时间戳（整数）来做准确比较，效率更高且保留原日志的行顺序：

start_date="01-Jun-2024 00:00:00"
end_date="30-Jun-2024 23:59:59"

awk -v start="$start_date" -v end="$end_date" '
BEGIN {
    # 定义月份缩写转数字的映射
    month_map["Jan"]="01"; month_map["Feb"]="02"; month_map["Mar"]="03"
    month_map["Apr"]="04"; month_map["May"]="05"; month_map["Jun"]="06"
    month_map["Jul"]="07"; month_map["Aug"]="08"; month_map["Sep"]="09"
    month_map["Oct"]="10"; month_map["Nov"]="11"; month_map["Dec"]="12"
    
    # 解析起始日期为时间戳
    split(start, s_parts, /[- :]/)
    start_ts = mktime(s_parts[3] " " month_map[s_parts[2]] " " s_parts[1] " " s_parts[4] " " s_parts[5] " " s_parts[6])
    # 解析结束日期为时间戳
    split(end, e_parts, /[- :]/)
    end_ts = mktime(e_parts[3] " " month_map[e_parts[2]] " " e_parts[1] " " e_parts[4] " " e_parts[5] " " e_parts[6])
}
{
    # 提取当前行的日期时间部分（假设是前两个字段，若位置不同请调整$1、$2）
    split($1, d_parts, "-")
    split($2, t_parts, ":")
    # 转换为时间戳
    current_ts = mktime(d_parts[3] " " month_map[d_parts[2]] " " d_parts[1] " " t_parts[1] " " t_parts[2] " " t_parts[3])
    # 时间戳比较，符合条件则输出整行
    if (current_ts >= start_ts && current_ts <= end_ts) print $0
}' auditfile

注：如果日志中的日期不是前两个字段，需调整$1、$2为对应字段位置。

方案二：先按日期排序再筛选（输出有序结果） #

如果需要输出按日期排序的日志，可以先通过sort正确排序日志，再用字符串比较筛选：

start_date="01-Jun-2024 00:00:00"
end_date="30-Jun-2024 23:59:59"

# 按年→月→日→时间排序，-k参数指定排序的字段和规则
sort -k1.8,1.12 -k1.4,1.6M -k1.1,1.2 -k2 auditfile | awk '$0>=from&&$0<=to' from="$start_date" to="$end_date"

• -k1.8,1.12：按日期字段的第8-12位（年份）排序
• -k1.4,1.6M：按第4-6位（月份缩写）按实际月份排序（M表示识别月份名称）
• -k1.1,1.2：按第1-2位（日期）排序
• -k2：按时间字段排序

两种方案对比 #

内容的提问来源于stack exchange，提问作者ashutosht tekriwal