如何通过grep提取日志中最后一条ALARM上方的最近日期行

嘿，我懂你的需求了——你的日志是定期追加日期开头的条目，里面散落着ALARM标记，现在你想拿到最后一条ALARM，同时把它上方最近的那个日期行也带上，不管中间隔了多少行。之前用grep 'ALARM' myfile.log | tail -1只能拿到最后一条ALARM本身，确实满足不了需求。

我推荐用awk来处理这个场景，它能轻松跟踪上下文，完美解决日期行和ALARM行间隔不确定的问题。这里有个实用的脚本：

# 匹配日期行（假设格式是「星期+四位年份」开头，比如Monday 2017）
/^[A-Za-z]+ [0-9]{4}/ {
    # 遇到新的日期行，就更新当前的日期块
    current_block = $0
    next
}

# 非日期行，追加到当前日期块里
{
    current_block = current_block "\n" $0
}

# 每次遇到ALARM，就把当前的日期块（包含这个ALARM）存起来
/ALARM/ {
    target_block = current_block
}

# 遍历结束后，输出最后一次保存的目标块
END {
    print target_block
}

你可以把这个脚本存成extract_alarm.awk，然后用下面的命令执行：

awk -f extract_alarm.awk myfile.log

原理说明： #

• 脚本会从头到尾遍历日志，每碰到一个日期开头的行，就把它作为新的「当前块」起点。
• 后续的每一行都会被追加到这个当前块里，直到遇到下一个日期行。
• 每次发现ALARM标记时，就把当前的整个日期块（从最近的日期行到当前ALARM行的所有内容）保存为目标块。
• 最后输出的就是包含最后一条ALARM的那个完整日期块，正好符合你的期望输出。

如果你的日志是单行大文本（所有内容都在一行里，日期和ALARM都混在这一行），那可以用这个简化版的awk命令：

awk '{
    # 定位最后一个ALARM的位置
    last_alarm = index($0, "ALARM")
    while (last_alarm > 0) {
        pos = last_alarm
        last_alarm = index(substr($0, pos+1), "ALARM") + pos
    }
    # 提取从开头到最后一个ALARM的子串
    sub_str = substr($0, 1, pos + length("ALARM") - 1)
    # 找到这个子串里最后一个日期的位置
    last_date = match(sub_str, /[A-Za-z]+ [0-9]{4}/)
    while (last_date > 0) {
        d_pos = RSTART
        d_len = RLENGTH
        last_date = match(substr(sub_str, d_pos + d_len), /[A-Za-z]+ [0-9]{4}/)
        if (last_date > 0) {
            d_pos += d_len + last_date - 1
            d_len = RLENGTH
        } else {
            break
        }
    }
    # 输出从最后一个日期到最后一个ALARM的内容
    print substr(sub_str, d_pos)
}' myfile.log

这个单行命令会精准定位到最后一条ALARM，再回溯找到它前面最近的日期标记，然后把中间的内容完整输出。

内容的提问来源于stack exchange，提问作者ditch