Linux 如何结合 zgrep 直接检索压缩后的历史日志文件

zgrep是最常用且无需解压即可查询.gz压缩日志的工具，语法与grep一致，支持-i、-C、-n、-c等参数及管道组合过滤，适用于批量、递归、并行等高效排查场景。

不用解压，直接查压缩日志，zgrep 是最常用也最实用的工具。它专为 .gz 文件设计，行为和 grep 几乎一致，但省去了手动解压再搜索的步骤，既快又省资源。

基础用法：快速定位关键词

zgrep 默认读取 .gz 文件并输出匹配行，语法和 grep 完全兼容：

1. 查包含 “ERROR” 的所有行：zgrep "ERROR" app.log.20260725.gz
2. 忽略大小写（适配 error / Error / ERROR）：zgrep -i "error" *.gz
3. 显示匹配行及前后各 3 行上下文（便于看堆栈或请求链路）：zgrep -C 3 "NullPointerException" *.gz
4. 只统计出现次数：zgrep -c "timeout" access-*.gz
5. 显示行号（方便后续用 sed 或 vim 定位）：zgrep -n "500" nginx.access.log-202607*.gz

组合过滤：多条件精准筛选

单个 zgrep 往往不够，配合管道可实现“且”逻辑或字段提取：

1. 同时含 “/api/order” 和 “401”：zgrep "/api/order" *.gz | zgrep "401"
2. 提取时间在某范围内的 ERROR（假设日志开头是 [2026-07-25 14:xx]）：zgrep "ERROR" app.log.*.gz | awk '$1 ~ /^[2026-07-25/ && $2 > "14:00:00"'
3. 过滤出特定 IP 并统计访问次数：zgrep "192.168.1.100" access.log.*.gz | awk '{print $1}' | sort | uniq -c | sort -nr

批量处理：一次扫多个压缩文件

线上日志常按天滚动，命名有规律（如 access.log-202607{20..28}.gz），可用花括号或通配符高效覆盖：

1. 查最近 7 天所有 ERROR：zgrep -i "error" access.log-202607{22..28}.gz
2. 查指定日期区间（支持补零）：zgrep "WARN" /var/log/app/app.log-202607{25..27}.gz
3. 跨目录递归搜索（需搭配 find）：find /var/log -name "app*.gz" -exec zgrep -l "OutOfMemoryError" {} ;

进阶技巧：提升排查效率

遇到大体量日志或需要反复分析时，这些技巧能明显提速：

1. 并行搜索（加快多核利用率）：parallel zgrep -i "exception" ::: *.gz
2. 先找含关键词的文件名（不输出内容，仅列文件）：zgrep -l "Connection refused" *.gz
3. 结合 zless 交互式查看结果：zgrep -C 2 "FATAL" *.gz | zless（支持 / 搜索、n 跳转）
4. 对 .zip 日志（非 .gz）可用 unzip 配合：unzip -p app.zip | grep "timeout"