如何从 BASH 中的日志文件中准确抓取过去一小时的日志？

Question

我有一个 cron 作业的日志文件，其中的条目格式为

Mar  8 17:30:01 hostname CROND[PROC_#]: (user) CMD (/path/to/job/)

我希望能够定期检查日志以查看特定 CRON 作业（每小时运行一次）是否运行。通过 grep 可以轻松找到我想要的日志。

grep name_of_job logfile

但我不确定如何准确地仅获取 过去一小时的日志以查看是否有任何 cron 作业已运行。

我尝试使用 awk 命令来获取最后一小时 based on this post 但我遇到了 awk 问题，因为我的日期戳被分成了多个字段。

Answer 1

您可以在 GNU awk 中执行此操作：

$ cat tst.awk
BEGIN {
    FS="[ :]+"
    nowSecs  = systime()
    thisYear = strftime("%Y")
}
{
    mthNr = (match("JanFebMarAprMayJunJulAugSepOctNovDec",$1)+2)/3
    inSecs = mktime(thisYear" "mthNr" "$2" "$3" "$4" "$5)
}
(nowSecs - inSecs) <= 60
$ awk -f tst.awk file

如果您的输入文件和当前日期可以跨越年份，那么您需要添加一些逻辑来处理它，因为您的输入文件不包含年份。

Answer 2

wrt 你的问题我已经创建了虚拟日志，还要注意时间是我的时区。我还显示了运行脚本之前的当前时间。

$ cat file2
Mar  9 05:20:01 hostname CROND[PROC_#]: (user) CMD (/path/to/job/)
Mar  9 04:20:01 hostname CROND[PROC_#]: (user) CMD (/path/to/job/)
Mar  9 05:35:01 hostname CROND[PROC_#]: (user) CMD (/path/to/job/)
Mar  5 05:35:01 hostname CROND[PROC_#]: (user) CMD (/path/to/job/)
Mar  9 04:35:01 hostname CROND[PROC_#]: (user) CMD (/path/to/job/)
$ date
Wed Mar  9 05:40:10 IST 2016
$ ./script.bash 
Mar  9 05:20:01 hostname CROND[PROC_#]: (user) CMD (/path/to/job/)
Mar  9 05:35:01 hostname CROND[PROC_#]: (user) CMD (/path/to/job/)
$

script.bash的内容如下：

#!/bin/bash

while read -r line || [[ -n "$line" ]]
do
    log_date_str="$(awk '{print $1" "$2" "$3}' <<< "$line")"
    log_date="$(date -d "$log_date_str" +%s)"
    [[ $(($(date +%s)-$log_date)) -le 3600 ]] && echo "$line"
done < "file2"

我们从日志文件中获取日期并将其转换为自Unix Epoch 以来经过的秒数，并从命令date +%s 中获取当前日期时间的相同格式注意+%s 是此处的格式。 date -d dateString +%s 可用于将字符串作为日期解析为所需的格式。

一旦我们有了两个日期，我们只需将其相减，然后找出相差小于 3600 秒（1 小时）的结果；然后我们只打印出日志行。

您可以传递grep 的输出，而不是将文件名传递给while 循环