新手第一次看 Linux 日志，先搞懂这 5 个地方就够了

服务出问题时，新手最容易慌：屏幕上一堆报错，不知道先看哪里。其实排查日志不用从头读到尾，先搞懂 5 个地方，多数问题都能定位到一句话。
第一，时间戳。日志的第一列通常是时间，先确认报错时间是不是你操作的时间。如果报错是三小时前的，就和你刚改的配置无关。先按时间过滤，再谈原因，这是最省时间的一步。
第二，日志级别。ERROR、WARN、INFO、DEBUG 不是装饰。先看 ERROR，它是真正出错的地方；WARN 是提醒，还没坏；INFO 只是流水账。只看 ERROR 能把几千行日志缩到几行，先从这里下手。
第三，服务自己的日志。每个服务都有自己的日志文件或输出，比如 Nginx 的 error.log、应用自己的运行日志。系统日志只能告诉你“服务挂了”，服务日志才会告诉你“为什么挂”。先找对应服务的日志，别只盯着系统总日志翻。
第四，最后一行与第一处报错。日志常常是连锁反应：真正的原因在前面，后面全是它引发的次生报错。找到第一处 ERROR，再看它紧邻的上下几行，往往就是根因；只看最后一行，容易被表象带偏。
第五，关键词搜索。用 grep 或日志工具搜关键字：error、failed、timeout、refused、permission denied。timeout 多是网络或上游太慢，refused 多是端口没监听或防火墙没放行，permission denied 多是文件权限或用户不对。先按关键词分类，再决定往哪个方向查。
串起来就是一套固定流程：确认时间、只看 ERROR、找对应服务日志、定位第一处报错、按关键词分类。养成这个顺序，日志就从“天书”变成“线索单”。新手不用背全部命令，先把这 5 个地方练熟，排查速度会快很多。