如何让Shell脚本同步等待rsyslog刷新完成？

这个问题的核心在于rsyslog处理HUP信号是异步的——你发送HUP后，rsyslog会开始将缓存中的日志刷写到磁盘，但不会立刻告知调用者完成，而你的脚本紧接着就执行grep，此时磁盘上的日志文件可能还没完成更新，导致检测失败。

下面是几个无需无意义sleep的可靠解决方案：

1. 让rsyslog同步写入日志（最直接的测试环境方案） #

你可以在rsyslog的日志规则中启用同步写入，这样每条日志都会直接刷到磁盘，不需要依赖HUP刷新，从根源上避免缓存延迟。修改你的配置添加语句：

sudo echo "user.* `pwd`/dump_hook_log;ActionFileEnableSync on" >> /etc/rsyslog.conf

ActionFileEnableSync on会强制rsyslog在写入日志后立即调用fsync()，确保内容落盘。这个选项会轻微影响性能，但在测试场景下完全可以接受，而且你甚至可以去掉后续的kill -HUP操作。

2. 用inotify监控日志文件的写入完成 #

借助Linux的inotify机制，你可以等待日志文件的写入操作彻底完成，再执行grep。需要先安装inotify-tools包（比如apt install inotify-tools或yum install inotify-tools），然后修改脚本：

# 运行测试程序后发送HUP
kill -HUP $(cat /var/run/syslogd.pid)
if [ $? -ne 0 ]; then
    logFail "failed to HUP $(cat /var/run/syslogd.pid): $?"
fi
echo "sent HUP to $(cat /var/run/syslogd.pid)"

# 等待日志文件被关闭写入（rsyslog完成刷盘）
inotifywait -e close_write -t 10 ./dump_hook_log

# 现在执行grep
grep "<目标字符串>" ./dump_hook_log >/dev/null

inotifywait会阻塞直到捕获到close_write事件（rsyslog完成写入并关闭文件句柄），或者超时10秒（避免无限等待）。这种方式是内核级的通知，比轮询更高效可靠。

3. 用标记日志同步HUP完成状态 #

你可以让rsyslog在处理完HUP后，写入一条自定义的标记日志，然后脚本等待这个标记出现，再检查目标内容：

1. 先给rsyslog添加一条额外的日志规则：

sudo echo "local0.* `pwd`/dump_hook_log" >> /etc/rsyslog.conf
sudo systemctl restart rsyslog.service

2. 修改脚本逻辑：

# 运行测试程序
# 发送HUP触发刷新
kill -HUP $(cat /var/run/syslogd.pid)
if [ $? -ne 0 ]; then
    logFail "failed to HUP $(cat /var/run/syslogd.pid): $?"
fi
echo "sent HUP to $(cat /var/run/syslogd.pid)"

# 发送一条标记日志，rsyslog会在完成HUP刷新后处理这条日志
logger -p local0.notice "RSYSLOG_HUP_FINISHED"

# 等待标记出现，最多循环20次（约2秒）
count=0
until grep -q "RSYSLOG_HUP_FINISHED" ./dump_hook_log || [ $count -ge 20 ]; do
    sleep 0.1
    count=$((count+1))
done

# 检查目标字符串
grep "<目标字符串>" ./dump_hook_log >/dev/null

这个方法的逻辑是：rsyslog会按顺序处理日志，HUP触发的缓存刷新完成后，才会处理logger发送的标记日志。当标记出现在文件中，说明之前的测试日志已经完全落盘了。

为什么你的现有方案会失败？ #

从你提供的失败案例来看：

• 日志文件的mtime是12:13:27.215，但日志记录的时间是12:13:27.216，这说明rsyslog的缓存刷盘动作是在文件mtime更新之后才完成的——文件系统的mtime是在rsyslog打开文件写入时更新的，但实际内容可能还在页缓存中，没有同步到磁盘。你的脚本在HUP后立刻grep，读的是磁盘上的旧内容，所以找不到目标字符串。

内容的提问来源于stack exchange，提问作者user3775289