监控自动轮转日志匹配错误码后复制至指定目录的问题求助

错误根源 #

你的命令出错有两个核心原因：

1. grep -l仅在直接读取文件时才会输出文件名，而通过管道tail -F system.log | grep -l "error code"时，grep是从标准输入读取内容，此时-l会输出(standard input)而非实际的日志文件名。
2. xargs将(standard input)传递给cp后，参数顺序混乱（cp要求先源文件后目标目录），导致cp误将拆分后的input)当成目标，触发"不是目录"的错误。

可行解决方案 #

方案1：实时监控当前日志，匹配错误时自动复制 #

用awk处理tail的输出，一旦匹配到错误码就复制当前的system.log到目标目录：

tail -F system.log | awk '/error code/ { system("cp system.log /another/directory/") }'

如果想避免短时间内重复复制（比如10分钟内仅复制一次），可以加时间判断：

tail -F system.log | awk '/error code/ { now = systime(); if (now - last_copy > 600) { system("cp system.log /another/directory/"); last_copy = now } }'

方案2：监控所有轮转日志文件 #

因为系统会保留最多5个轮转日志（system.log.1到system.log.4），可以同时监控这些文件，匹配到错误时自动复制对应文件：

tail -F system.log system.log.{1,2,3,4} | awk '/error code/ { split(FILENAME, f, ":"); system("cp " f[1] " /another/directory/") }'

这里通过拆分FILENAME（tail监控多文件时格式为文件名:行内容）获取实际日志文件名，确保复制的是包含错误的那个文件。

方案3：修正grep+xargs的用法 #

让grep直接读取日志文件，结合--line-buffered保证实时输出，同时用xargs的-I {}指定参数位置：

grep --line-buffered -l "error code" system.log system.log.{1,2,3,4} | xargs -I {} cp {} /another/directory/

若要实现持续监控，可结合watch工具（比如每分钟执行一次）：

watch -n 60 'grep -l "error code" system.log system.log.{1,2,3,4} | xargs -I {} cp {} /another/directory/'

注意事项 #

• 确保执行命令的用户拥有日志文件的读取权限和目标目录的写入权限。
• 若日志轮转规则有变化（比如保留数量改变），需要对应调整命令中的日志文件名后缀范围。

内容的提问来源于stack exchange，提问作者GriM