读大日志，先别急着打开编辑器

先查看文件开头和末尾，往往比直接打开整个大文件更高效。

日志排查通常从时间窗口开始：开头能说明文件格式，末尾能说明最近发生了什么。只读几十行既减少等待，也避免把巨大的日志一次载入编辑器。

操作与观察

以下示例面向常见 GNU/Linux 环境，文件名为实验用占位名称。

head -n 5 app.log; tail -n 20 app.log

确认看到的是本次运行产生的最新时间段。

先检查末尾时间是否接近当前故障，再决定是否持续跟踪。文件名没变但日志已轮转时，要确认工具跟随的是新路径还是旧文件描述符。

只看最后几行还可能遇到消息交错：多个进程同时写入，时间先后与因果关系并不完全相同。结合请求标识或任务编号缩小范围，比按相邻行推测它们属于同一次操作更可靠。

别遗漏这条边界

日志轮转后旧文件可能不再增长，跟踪时要注意文件名变化。

参考：Linux 文档。