如果你在运维、开发或者数据处理的岗位上待过几年一定有过这样的时刻连上服务器发现没有图形界面能靠的只有终端和一堆看起来像“天书”的命令。但就在这些命令里vim和文本三剑客——grep、sed、awk——是永远绕不开的搭档。它们不新功能却异常扎实日常处理日志、改配置、查报错、做统计几乎都能在这几个命令里完成。这篇内容不打算写成命令字典而是把我实际用下来的高频操作整理成一条清晰路径。先理解为什么它们还活着再逐个上手vim、grep、sed、awk的核心用法最后用一个日志排查的组合实战把这些命令串起来。适合刚开始学Linux基础、准备面试、或者工作里必须和文本打交道的人照着练一遍就能上手。下面按“先理解、再上手、后实战、最后排坑”的顺序来聊。1. 为什么命令行老手还在用vim和文本三剑客1.1 不是怀旧是效率和场景问题先聊vim。很多人觉得vim是老古董早期版本学习曲线陡连不少所谓“高手”也只会进进出出。但只要经历过生产环境故障你就明白它为什么还活着没有GUI、没有鼠标、没有图形文件管理一台最小化安装的服务器上可能只有vim或者vi。它能用键盘完成所有操作不依赖网络和图形库打开几个GB的大日志文件也不会像某些图形编辑器那样卡死。我碰到过不少情况项目故障时只剩一个SSH窗口还得快速改nginx配置、看应用日志这时候图形编辑器根本指望不上。vim真正的优势在于“模式化”。普通模式下你的键盘就是操作命令移动、删除、复制、替换插入模式下键盘才变成文本输入。这种模式设计刚开始确实别扭但一旦形成肌肉记忆效率一点不比IDE低。尤其配合后面的文本三剑客完全能在几秒钟内完成日志定位和批量修改。1.2 文本三剑客的分工协作grep、sed、awk被叫“三剑客”是因为它们在文本处理上各承担一个角色又能通过管道拼成流水线。我用一个生活化的类比说明grep像“筛子”在大量文本里把包含关键字的行捞出来sed像“剪刀”按行做替换、删除、插入这类编辑awk像“整理台”把一行文本按分隔符拆开计数、求和、排序、格式化输出。这三样工具最常干的活不是单独用而是配合。比如一条命令里grep先筛出日志中的异常行sed把某个字段值替换成标准格式awk再把字段拆分并统计数量。数据一行行流过去秒级出结果完全不依赖图形环境。这种组合思维才是把文本处理能力真正提升上来的核心。2. vim命令实战地图高频操作一次说清2.1 从打开到退出vim核心流程实测先解决怎么打开。绝大多数Linux发行版自带vim没有的话用包管理器装一下apt install vim、yum install vim或者macOS上用brew install vim。打开文件vim app.log如果编辑的是系统配置文件需要root权限就加上sudosudo vim /etc/nginx/nginx.conf打开后你会直接进入vim的“普通模式”。刚接触的人最容易懵的是为什么敲键盘不出现字因为在普通模式下键盘是拿来做命令的不是输入的。按i进入插入模式才能正常写字写完按Esc回到普通模式。保存和退出的命令高频记住这几个就够了操作命令说明保存退出:wq写盘后退出保存但不退出:w只保存不保存强制退出:q!放弃所有修改普通模式直接保存退出ZZ按键连按两次大写Z如果命令输到一半想取消按Esc即可。我见过太多人在插入模式里直接按:wq结果只是往文本里敲了一串字符然后更慌。记住一个节奏先Esc回普通模式再输入冒号命令。2.2 移动、查找、跳转与编辑高频动作速览在普通模式下键盘就能完成所有移动和编辑。方向键能用但真正高效的是hjkl四个键h左移、j下移、k上移、l右移。手不用离开主键盘区这是vim快的基础。移动和跳转的高频命令0跳到行首$跳到行尾。gg跳到文件第一行G跳到文件最后一行。有朋友问“vim怎么到底端”答案就是G。Ctrld向下翻半屏Ctrlu向上翻半屏。:数字回车跳到指定行比如:120回车直接看第120行。查找字符串是日常用得最多的。在普通模式下按/然后输入关键字回车vim会用高亮标出所有匹配位置n跳到下一个匹配N跳到上一个匹配。?关键字是向上查找。:set hlsearch开启搜索高亮:noh取消当前高亮。我以前经常搜索完一脸花后面摸索出“匹配后不想高亮就:noh回车”这个习惯多半都能治好。编辑动作别贪多先练这几条操作命令删除当前行dd删除光标所在字符x复制当前行yy粘贴到当前行后p撤销上一步u反撤销/重做Ctrlr进入可视模式选择v然后按d删除或y复制替换命令也很常用。比如把当前行的foo替换成bar:s/foo/bar/全文替换用%s:%s/foo/bar/g这个命令极其实用改配置、改代码都能用。里面的g表示一行内所有匹配都替换而不只是第一个。2.3 跳转到文件引用路径与vim配置还有个小众但高频的技巧vim里可以打开“文件里引用的文件路径”。很多开发场景比如看项目代码时光标停在import ./foo.py这行在普通模式下把光标移到./foo.py上按gfvim会直接打开这个文件按Ctrlo可以跳回原来的位置。这比退出去再用资源管理器找文件快得多。如果路径带特殊符号或者想要更智能的查找还可以在.vimrc里加set path**再说配置。vim默认样式朴素但没有关系配置可以一点点加。用户级配置文件是~/.vimrc我建议新手先配这几行保持简单有效set number 显示行号 syntax on 语法高亮 set ignorecase 搜索忽略大小写 set smartcase 有大小写混合时自动变为区分大小写 set incsearch 搜索时实时显示匹配 set hlsearch 搜索时高亮 set expandtab 用空格代替 Tab set shiftwidth4 一次缩进4个空格 set tabstop4 Tab 显示为4个空格配置完在vim里执行:source ~/.vimrc立即生效或者重开vim。如果你用sudo vim编辑系统文件root用户通常不会加载你的.vimrc所以别奇怪配置没生效这属于权限环境问题。解决方式是用sudoedit或者进去后手动:source /home/你的用户名/.vimrc。3. 文本三剑客核心用法详解3.1 grep筛选行的第一选择grep是文本处理里最常用的过滤器。它的作用是从文件或标准输入中把匹配模式的行打印出来。最基础的用法grep 关键字 文件名比如查应用日志里的ERRORgrep ERROR app.log实际场景里经常会搭配选项选项作用示例-n显示行号grep -n ERROR app.log-i忽略大小写grep -i error app.log-v反向选择过滤掉匹配的行grep -v ^# nginx.conf-c只统计匹配行数grep -c ERROR app.log-r递归搜索目录grep -r class Foo src/-E使用扩展正则grep -E ERROR-o只输出匹配到的部分grep -o ERROR app.log这里有一个经常踩的坑grep默认用基础正则字符|、、?、{}都会被当成普通字符而不是正则符号。想用或匹配比如同时查ERROR和WARN要么加-E要么把管道符转义成\|。新同学直接用-E就好。grep还有一个好搭档是管道。比如日志文件太大不想直接打印到屏上可以这样grep ERROR app.log | head -20只显示前20行。或者把筛选结果存到文件里grep ERROR app.log errors.txt3.2 sed流式编辑与批量替换sed是一条流式编辑命令它和vim不一样不需要打开文件而是直接把每一行读取出来处理后输出。默认情况下sed不会修改原文件只会把处理后的内容打到终端。这是新手最容易误解的地方。核心语法是sed 地址命令 文件。最常用的替换sed s/old/new/ file它只替换每一行第一次出现的old想要全部替换就加gsed s/old/new/g file指定行替换比如只处理第3行sed 3s/old/new/ file替换第10行到第20行sed 10,20s/old/new/g filesed还能打印指定行范围相当于快速取日志片段sed -n 10,15p app.log这里-n表示“不要默认打印所有行”配合p命令就只打印匹配的行。删除行sed 5d file真正要修改文件内容必须加-i选项sed -i s/old/new/g file建议操作前先别加-i直接跑一遍看输出结果是否符合预期。确定没问题再加上-i或者加个备份后缀sed -i.bak s/old/new/g file这样会生成一个file.bak备份文件。macOS自带的BSD版sed和Linux的GNU版在-i参数上有点差异macOS下-i后面必须跟扩展名写成-i.bak最保险。如果内容里带了/替换会变得混乱。比如替换路径/usr/local为/opt可以换一种分隔符用#或者|sed s#/usr/local#/opt#g file这个技巧在处理配置路径时非常救命。3.3 awk字段拆分与统计汇总awk的名字来源于它最早的三个作者姓氏但现在它是文本处理里最能“算”的工具。它把每一行当成一条记录默认按空白字符空格、Tab拆成多个字段$1表示第1个字段$2表示第2个字段$NF表示最后一个字段。看个最简单的例子awk {print $1, $2} app.log把每行前两个字段打印出来。如果日志是逗号分隔的CSV文件可以这样指定分隔符awk -F, {print $1, $2} data.csv内置变量NR是当前行号NF是当前行的字段数量。例如打印行号和字段数量awk {print NR, NF} app.logawk还可以做条件匹配和统计。统计日志中状态码为500的行数awk /ERROR/ {count} END {print count} app.log或者精确按字段匹配awk $4500 {count} END {print count} app.log这里的$4要看日志结构而定比如第4列是状态码。求字段数值的总和、平均值也很方便awk {sum $5} END {print sumsum, avgsum/NR} app.log格式化输出用printf比如按表格对齐打印awk {printf %-10s %8s\n, $1, $5} app.logawk最有吸引力的地方是可以直接做统计报表。比如按IP统计请求次数awk {ips[$3]} END {for (ip in ips) print ip, ips[ip]} app.log这一行代码就相当于一个分组统计后面再用sort排序就能快速得出Top N。后面实战部分我会完整演示。4. 三剑客组合实战一次日志排查的真实流程4.1 场景设定一条模拟日志的结构光记命令容易忘真正需要的是会串联。我拿一个很典型的日志排查场景举例。假设app.log每行格式是2024-06-01 10:15:23 192.168.2.35 200 87 2024-06-01 10:15:24 192.168.2.36 500 1203 2024-06-01 10:15:25 192.168.2.35 500 340字段分别对应时间、IP地址、状态码、耗时毫秒。现在的任务很简单也很实战统计今天一共出现了多少次500错误找出产生500错误最多的5个IP筛选出状态码为200但耗时超过1000毫秒的慢请求按耗时从高到低取前10条把配置文件里一个旧IP批量替换成新IP并确认替换结果。这些需求如果手写脚本可能很啰嗦用vim看清结构再用三剑客一条命令搞定。4.2 分步命令与结果解读第一步统计500错误次数。有人会直接grep -c 500 app.log但这不够严谨如果IP地址里包含500或者URL里自带500就会被误统计。更安全的方式是用awk按字段精确匹配字段4状态码等于500awk $4500 {count} END {print count} app.log如果结果显示2说明日志里有两条500。这就是awk比grep更精确的地方。第二步按IP统计谁在频繁报500。用awk统计数组再用sort排序awk $4500 {ips[$3]} END {for (ip in ips) print ips[ip], ip} app.log | sort -rn | head -5解释一下$3是IP列命中状态码500时给对应IP加1结束后遍历数组打印“出现次数 IP”管道把结果交给sort -rn按数字倒序排head -5取前5行。输出大概是这样3 192.168.2.35 2 192.168.2.36说明192.168.2.35问题最突出排查方向可以往这个节点倾斜。第三步慢请求筛选。状态码200但耗时超过1000msawk $4200 $51000 {print $3, $5} app.log | sort -k2 -rn | head -10$4200 $51000是两个条件同时满足sort -k2 -rn意思是按第2列耗时数字倒序。输出就是IP和耗时的排行榜。第四步批量替换配置。假设nginx.conf里旧IP是192.168.2.36要换成新的10.0.0.8。先用sed看替换结果不加-ised s/192.168.2.36/10.0.0.8/g nginx.conf确认无误后加-i.bak执行sed -i.bak s/192.168.2.36/10.0.0.8/g nginx.conf这会生成nginx.conf.bak作为备份。然后验证grep -n 10.0.0.8 nginx.conf diff nginx.conf.bak nginx.confgrep能直接看到替换后的行diff能看到哪些行发生了变化。这套流程比vim打开文件再手动编辑快得多而且改动记录清晰、可回滚。4.3 组合中的常见问题与验证技巧管道操作是临时性的不会改原文件。像grep ... | head这类命令输出只是终端显示原文件纹丝不动。如果想保存结果要手动重定向grep ERROR app.log errors.txt sed s/192.168.2.36/10.0.0.8/g nginx.conf nginx_new.confawk数组的遍历顺序是不固定的所以awk统计完IP数量后必须再接一个sort否则输出顺序可能会让你摸不着头脑。千万别一上来就追求“一条命令搞定所有事”。真实排查时我会先用head -5 app.log看看字段结构再用awk单条命令验证一个字段最后才把多条命令用管道串起来。管道链路越长越容易出错每加一段都应该先脑内推演一遍。5. 常见问题排查与实操心得5.1 vim高发问题速查vim用多了总会遇到几个“卡住”的瞬间。我整理了一张速查表现场常见原因解决办法按Esc无法退出插入模式终端流控被暂停类似冻结按Ctrlq解除暂停或使用Ctrl[等效Esc打开文件中文乱码文件编码和vim默认编码不一致在vim里执行:set fileencodingutf-8并在.vimrc加全局配置sudo vim不加载个人配置root环境不读当前用户配置用sudoedit或进去后手动source配置异常退出后出现swap提示上次会话被中断用vim -r 文件恢复确认内容后删除.swp文件搜索高亮关不掉hlsearch已开启普通模式执行:noh插入模式里输入冒号命令没反应还停留在插入模式先按Esc回普通模式再执行:wq5.2 三剑客踩坑记录grep、sed、awk也各自有几个高频坑。第一个是正则语法差异。grep默认基础正则|、、{}这些符号想作为“正则元字符”用必须加-E或者转义。不少人在同一个命令里试半天换成-E瞬间解决。第二个是sed的替换分隔符。内容里一旦包含/比如替换路径继续用/做分隔符会变得又乱又容易错。解决办法是换分隔符比如用#sed s#/usr/local#/opt#g file第三个是awk里的比较和匹配容易写混。精确比较用正则匹配要用~。比如第2个字段以192开头awk $2 ~ /^192/ {print} app.log如果写成了$2 ^192它只会比较字面值永远匹配不中。awk和sed一样默认也不会改原文件只有在明确重定向或加-i选项时才会写文件。5.3 几条实战体会最后分享一点我实际摸爬滚打的经验。刚学vim的时候别指望一次性记住所有命令。高频率的其实就那么二三十条打开、保存、退出、查找、移动、删除、复制、粘贴、替换先用熟这些后面再慢慢扩展。我当初的练习方式是开一个临时目录复制几份日志文件进去不设目标地乱试命令错了也就删掉重来完全没压力。文本三剑客也一样不用背一堆选项。先把“grep筛行、sed改行、awk拆字段统计”这个流程记牢再逐个查选项表。实际处理文件前先用head取样看看结构避免对整个大文件跑出不可控的结果。命令里遇到替换和删除的这种“破坏性操作”第一遍永远不加-i确认结果后再落地。我自己日常用得最多的组合套路是先用grep把日志里的异常行捞出来再用awk按字段统计关键词最后用sed对配置文件做批量修改。这套组合熟练之后处理文本的速度会明显上一个小台阶。最关键的还是多练在真实场景里踩几次坑比背十张命令表都管用。
