macOS 借助 log show 完成长期日志存储分析

macOS长期日志存储依赖统一日志自动归档机制而非log show工具，需通过log stats验证归档状态、log config配置保留策略（如keep-30-days与limited=5G）、newsyslog管理传统日志，并用log collect/log show导出分析，避免手动清理归档目录。

macos 的 log show 本身不负责长期存储，它只是读取系统统一日志（unified logging）数据库的查询工具。真正支撑“长期日志存储分析”的，是 macos 内置的自动归档机制与合理配置策略。关键不是反复用 log show 拉数据，而是让系统持续、安全、可查地保留你需要的历史日志。

确认日志归档已实际生效
统一日志默认启用归档，但需验证是否真正生成了跨时段的压缩存档：

• 运行 log stats，重点查看 “Data stores” 下是否有多个带时间标识的条目，例如 30 days ago、90 days ago
• 若只看到 Today 或 7 days ago，说明归档未充分积累，可能因磁盘空间紧张或策略限制过严
• 运行 log show --last 1h | head -3 确保基础服务活跃，能实时输出日志

用 log config 设定可持续的长期保留策略
归档时长和空间上限必须显式配置，否则系统按磁盘压力自动清理，可能导致关键历史丢失：

• 保留最近 30 天全部日志：sudo log config --mode "persist:keep-30-days"
• 限制日志总占用不超过 5GB（适合大容量 SSD）：sudo log config --mode "persist:limited=5G"
• 同时设双约束（推荐）：sudo log config --mode "persist:keep-30-days" --size 5g
• 查看当前生效策略：log config --status

配合 newsyslog 管理 /var/log 下的补充日志
部分传统服务（如 system.log、install.log）仍走 syslog 路径，其归档由 newsyslog 控制：

• 检查 /etc/newsyslog.conf 中对应行是否含 Z（gzip 压缩）和足够大的保留数，例如：
  /var/log/system.log 644 14 * @T00 Z → 保留 14 个 .gz 归档
• 修改后运行 sudo newsyslog -nvv 模拟测试，无报错再保存
• 归档文件自动命名为 system.log.0.gz、system.log.1.gz 等，按小时轮转

高效导出与离线分析长期日志
避免每次手动 log show，改用结构化归档+终端批量提取：

• 导出指定时间段完整归档（含二进制元数据，Console 可直接打开）：
  log collect --start "2026-06-01" --end "2026-06-30"
• 提取纯文本错误摘要（便于 grep 或导入 Excel）：
  log show --predicate 'level >= error' --start "2026-06-01" --end "2026-06-30" > ~/Desktop/june_errors.txt
• 对导出文本做关键词聚合统计：
  grep -i "panic|shutdown cause" june_errors.txt | sort | uniq -c | sort -nr

不建议的操作（易导致归档失效）

• 手动删除 /var/db/diagnostics/ 或 /var/db/uuidtext/ 下任何文件
• 用 find /var/db/diagnostics -name "*.tracev3" -delete 类脚本暴力清理
• 关闭 Unified Logging 或降级回旧式 syslogd

归档的价值在于“随时可查”，而不是“存得越多越好”。合理设限 + 定期导出关键区间 + Console 图形化回溯，才是 macOS 长期日志分析的实用路径。