inotify如何优化日志管理

日志管理这事儿，干过运维的都知道有多烦。手动切割、归档、备份，不仅累，还不靠谱，漏掉一个关键日志就可能错过故障信号。其实 Linux 内核早就提供了一个很趁手的工具——inotify，它能实时监控文件或目录的变化（创建、删除、修改），用来驱动日志管理的自动化流程再合适不过。下面具体聊聊几种常见用法，配合脚本直接就能用。

1. 日志文件切割

日志文件越写越大，不及时切割很容易把磁盘撑爆。用 inotify 盯着文件的大小变化，一旦超过预设阈值就自动切割，省心还及时。

#!/bin/bash
LOG_FILE="/var/log/myapp.log"
MAX_SIZE=10M

inotifywait -m -e modify --format '%w%f' "$LOG_FILE" | while read NEW_LOG_FILE
do
    if [ $(stat -c%s "$NEW_LOG_FILE") -gt $MAX_SIZE ]; then
        mv "$NEW_LOG_FILE" "${NEW_LOG_FILE}.$(date +%Y%m%d%H%M%S)"
    fi
done

2. 日志归档

光切割还不够，旧日志最好集中归档，顺便压缩一下省空间。下面这个脚本把切出来的旧日志挪到归档目录，并打包成 .tar.gz，干净利落。

#!/bin/bash
LOG_DIR="/var/log/myapp"
ARCHIVE_DIR="/var/log/archive/myapp"

inotifywait -m -e modify --format '%w%f' "$LOG_DIR/myapp.log" | while read NEW_LOG_FILE
do
    if [ $(stat -c%s "$NEW_LOG_FILE") -gt $MAX_SIZE ]; then
        mv "$NEW_LOG_FILE" "$ARCHIVE_DIR"
        tar -czf "${ARCHIVE_DIR}/myapp-$(date +%Y%m%d%H%M%S).tar.gz" -C "$ARCHIVE_DIR" myapp.log
        rm "$ARCHIVE_DIR/myapp.log"
    fi
done

3. 日志备份

异地备份是容灾的基本操作。用 inotify 监控日志变化，每次修改后自动拷贝到备份目录，或者直接 rsync 到远程服务器。下面的例子演示了本地备份：

#!/bin/bash
LOG_DIR="/var/log/myapp"
BACKUP_DIR="/backup/myapp"

inotifywait -m -e modify --format '%w%f' "$LOG_DIR/myapp.log" | while read NEW_LOG_FILE
do
    TIMESTAMP=$(date +%Y%m%d%H%M%S)
    cp "$NEW_LOG_FILE" "${BACKUP_DIR}/myapp-${TIMESTAMP}.log"
done

4. 日志监控和告警

自动切割归档是日常，但出现异常日志时能实时告警才是真本事。配合 grep 或 awk 检测错误关键字，发现苗头立刻发邮件或调用 webhook，把被动排查变成主动防御。

#!/bin/bash
LOG_FILE="/var/log/myapp.log"
ERROR_PATTERN="ERROR"

inotifywait -m -e modify --format '%w%f' "$LOG_FILE" | while read NEW_LOG_FILE
do
    if grep -q "$ERROR_PATTERN" "$NEW_LOG_FILE"; then
        echo "Error detected in $NEW_LOG_FILE"
        # 发送告警，例如通过邮件或信息
        mail -s "Error Alert" admin@example.com < "$NEW_LOG_FILE"
    fi
done

注意事项

1. 性能影响：inotify 本身开销不大，但如果监控的文件数量太多或者事件频率极高（比如大量小文件频繁写入），系统资源占用会明显上升。建议按需控制监控范围，别一股脑全盯上。
2. 权限问题：跑 inotifywait 的用户必须对监控的文件或目录有读权限，对操作目标有写权限。生产环境里通常用 root 或日志专属用户，提前确认好。
3. 稳定性：inotify 可以当作日志自动化的主力，但别完全依赖它。最好配合 crond 做兜底检查，或者用 systemd 的 watchdog 机制，防止脚本意外设掉导致日志堆积。

总体来看，inotify 为日志管理提供了一种轻量、实时的自动化思路。把切割、归档、备份、告警这些重复劳动交给脚本，运维同学就能腾出手干点更有价值的事了。