从Apache access.log最近5000条访问记录获取Top10 IP的问题

看起来你的命令思路是对的，但结果出现了两个异常：一是本该在Top10的IP没出现，二是返回的统计结果排序混乱（比如1413次的IP排在235次的后面）。我来帮你排查几个可能的原因：

1. 排序逻辑错误，导致数值排序失效 #

你命令里用了sort -rn，但如果实际执行时不小心漏掉了-n参数（比如写成sort -r），排序会按字典序而非数值序进行，这就会出现大数值（比如1413）排在小数值（比如235）后面的情况——因为字典序里2比1大，所以235会被排在1413前面。

另外，系统的locale设置也可能干扰数值排序，建议显式指定LC_ALL=C来确保排序行为一致。

修正后的命令：

tail -5000 example_access.log | awk '{print $1}' | sort | uniq -c | LC_ALL=C sort -rn | head -10

2. 误使用了head -5而非head -10 #

你提到“去掉head -5并换成less查看完整列表时”发现了目标IP，这很可能是你实际执行命令时，把head -10写成了head -5——只取了前5条结果，而那个422次的IP刚好排在第6到第10位，自然不会出现在输出里。

检查一下命令里的head参数，确保是-10。

3. IP提取逻辑不符合日志格式 #

如果你的Apache日志不是默认的组合格式，awk '{print $1}'可能提取的不是真实的客户端IP：

• 比如使用了反向代理，日志里第一个字段是代理服务器的IP，真实客户端IP在X-Forwarded-For字段里；
• 有些异常日志行的第一个字段不是IP，干扰了统计。

你可以先查看几条日志确认格式：

tail -5000 example_access.log | head -10

如果需要提取X-Forwarded-For字段，比如它在日志的最后一位，命令可以调整为：

tail -5000 example_access.log | awk '{print $NF}' | sort | uniq -c | LC_ALL=C sort -rn | head -10

验证统计正确性 #

你可以单独统计那个缺失的IP的访问次数，确认它的排名：

tail -5000 example_access.log | awk '{print $1}' | grep -c "80.120.179.134"

如果结果确实是422，那用修正后的命令应该就能看到它出现在Top10里了。

内容的提问来源于stack exchange，提问作者reike