在日常运维工作中，日志文件如同系统的“黑匣子”，及时捕捉文件变化并触发分析，能帮助我们快速定位故障。谈到文件系统事件监控，inotify 是 Linux 内核提供的原生机制——它可以实时监控文件的创建、修改、删除等操作。不过严格来说，inotify 自身并不直接用于日志分析，真正执行任务的是它的用户空间工具 inotifywait。下面我们将一步步介绍，如何使用 inotifywait 搭建一个轻量级的日志分析流水线。
安装 inotify-tools 工具包
首先，你需要安装 inotify-tools，它包含 inotifywait 和 inotifywatch 两个实用工具。不同发行版的命令略有差异，但都很简单：
sudo apt-get install inotify-tools# Debian/Ubuntu
sudo yum install inotify-tools# CentOS/RHEL编写日志监控脚本
接下来，编写一个脚本用于监控日志文件的变化，并在检测到变化时触发分析操作。核心思路是让 inotifywait 持续监听目标文件，一旦发生指定事件，就调用分析脚本。脚本大致长这样：
#!/bin/bash
LOG_FILE="/path/to/your/logfile.log"
ANALYSIS_SCRIPT="/path/to/your/analysis_script.sh"
# 监控日志文件的变化
inotifywait -m -e modify,attrib,close_write,move,create,delete "$LOG_FILE" |
while read path action file; do
echo "File '$file' has been $action"
# 执行日志分析脚本
./"$ANALYSIS_SCRIPT" "$file"
done编写日志分析脚本
分析脚本本身可以按需定制，比如统计错误日志的数量。这里给一个简单的示例 analysis_script.sh：
#!/bin/bash
LOG_FILE="$1"
# 这里可以添加你的日志分析逻辑
# 例如，统计错误日志的数量
ERROR_COUNT=$(grep -c "ERROR" "$LOG_FILE")
echo "Error count: $ERROR_COUNT"运行监控脚本并启动
最后，给监控脚本加上执行权限，然后启动它：
chmod +x monitor_log.sh
./monitor_log.sh注意事项与优化建议
- 性能考虑：对于大型日志文件或高频日志更新，每次修改都全量读取文件会带来不小的系统压力。当日志量特别大时，建议考虑使用
logstash或fluentd等专业日志处理工具，或者采用增量读取方式，仅处理新追加的内容，以提升性能。 - 安全性：确保监控脚本和分析脚本具备适当的权限，防止未授权访问或篡改，保障系统安全。
- 错误处理：实际部署时务必加入容错处理逻辑，例如处理日志文件不存在、权限不足等异常情况，防止脚本意外中断，提高稳定性。
这样一来，一套基于 inotify 的实时日志监控与分析方案就搭建完成了。它简单、直接且足够实用——无需引入复杂的中间件，即可实现对日志文件变化的实时响应，高效辅助运维排查。
