在 Linux 系统中，查看文件持续变化（即实时跟踪文件追加内容或监控文件改动）是运维与开发工作中的常见需求。最经典且使用最广泛的方法是 tail -f，它能够持续输出文件尾部新增的数据。例如执行 tail -f /var/log/syslog 后，终端会保持监听状态，一旦文件有新行写入，立刻显示出来。若要同时跟踪多个文件，可使用 tail -f file1 file2，输出会带有文件名前缀以便区分。该命令还支持 -n 参数指定初始显示的行数，如 tail -n 50 -f app.log 表示先显示最后 50 行，再持续跟踪后续新增内容。
另一种交互式查看工具是 less 的 F 模式。在 less 打开的文本界面中按下 Shift+F，即可进入类似 tail -f 的实时跟踪状态。该模式会自动滚动到文件末尾并跟随新内容，适合在查看大文件时快速切换浏览与跟踪。要退出实时模式返回普通浏览模式，可按下 Ctrl+C；彻底退出 less 则输入 q。相比于 tail，less 允许在跟踪前自由翻页，因此更适合需要先定位再观察增长的场景。
如果不仅要查看文件内容变化，还需要监控文件的元数据变化（如权限、属主、大小、修改时间等），可使用 watch 命令结合 ls -l 或 stat 实现周期性刷新。例如 watch -n 1 ls -l /path/to/file 会每 1 秒执行一次 ls -l 并全屏刷新显示，从而直观看到文件大小的变化。同理，watch -d stat file 可以高亮显示变化字段。这种方法的本质是“定时快照对比”，并非真正的系统事件驱动，但非常适合观察数值型变化。
对于需要精准捕获文件每一次写入事件（包括内容追加、截断、属性修改、删除等）的场景，应使用 Linux 内核提供的 inotify 机制。命令行工具 inotifywait 可用于阻塞式监听，例如执行 inotifywait -m -e modify file 会在文件被修改时输出事件记录并持续监听（-m 表示 monitor 模式）。若要同时输出新增内容，可结合 --format 或配合 shell 循环处理。inotify 是内核级机制，效率高且不会消耗大量 CPU，适合编写自动化监控脚本。
此外，journalctl 是专门用于查看 systemd 日志文件变化的工具，其 -f 参数同样支持实时跟踪，例如 journalctl -f -u nginx.service 可实时查看指定服务的日志。虽然它面向的是 journal 系统而不是普通文本文件，但底层思想一致。对于普通文本文件的实时跟踪，还可以使用 tail --follow=name，该模式会通过文件名跟踪而非文件描述符，即使文件被轮转（rename）或重建（如 logrotate 场景），也能自动定位新文件继续输出，这是生产环境处理滚动日志时的关键选项。
在性能与可靠性方面，tail -f 使用尾部描述符读取，效率较高；但若文件被截断或轮转，旧描述符可能失效，此时应使用 tail -F（大写）自动重开文件。对于极高频率写入的日志，less +F 和 tail -f 都可能因终端刷新瓶颈而短暂延迟，而 inotifywait 直接提供事件回调，适合需要精确到毫秒的场景。选择哪种方式取决于具体需求：仅快速查看用 tail -f；交互浏览用 less +F；周期性状态对比用 watch；精细监控事件用 inotifywait；轮转日志用 tail -F。所有方法均可结合管道、awk、grep 进行过滤分析，以提升定位效率。
查看详情
查看详情
