Linux Tomcat如何进行日志分析

Linux环境下Tomcat日志分析指南

1. 定位Tomcat日志文件

Tomcat的日志文件默认存储在$CATALINA_HOME/logs目录（$CATALINA_HOME为Tomcat安装根目录），常见日志文件及作用如下：

catalina.out：主日志文件，记录Tomcat启动/关闭过程、运行时信息（包括错误、警告）及应用程序输出；
localhost.log：记录本地主机相关事件（如应用部署、上下文加载）；
manager.log/host-manager.log：分别记录Tomcat管理器、主机管理器应用的日志；
localhost_access_log.YYYY-MM-DD.txt：HTTP访问日志（按日期分割），记录客户端IP、请求时间、URL、响应状态码等信息。

2. 基础日志查看与过滤

2.1 实时查看最新日志

使用tail -f命令实时跟踪日志文件的新增内容（如catalina.out）：

tail -f /path/to/tomcat/logs/catalina.out

按Ctrl+C退出实时查看。

2.2 分页查看完整日志

使用less（支持上下翻页、搜索）或more（逐页查看）命令：

less /path/to/tomcat/logs/catalina.out

在less中，按/keyword可搜索关键词（如ERROR），按q退出。

2.3 过滤特定信息

过滤错误日志：使用grep命令筛选ERROR、SEVERE或WARNING关键字（不区分大小写）：
```
grep -i "ERROR" /path/to/tomcat/logs/catalina.out
```
查看特定时间段日志：使用sed命令提取指定时间范围的日志（需日志中包含时间戳）：
```
sed -n '/2025-09-20 10:00:00/,/2025-09-20 11:00:00/p' /path/to/tomcat/logs/catalina.out
```
提取特定字段：使用awk命令提取日志中的关键字段（如时间戳、状态码）：
```
awk '{print $1, $2, $9}' /path/to/tomcat/logs/access_log.2025-09-20.txt
```
上述命令提取访问日志中的时间戳（第1列）、请求方法（第2列）和响应状态码（第9列）。

3. 高级日志分析与工具

3.1 日志分割与管理

当日志文件过大时，可使用logrotate工具自动按日期或大小分割日志，避免占用过多磁盘空间。编辑/etc/logrotate.d/tomcat文件，添加以下配置：

/path/to/tomcat/logs/*.log {
    daily          # 每天分割
    missingok      # 忽略缺失文件
    rotate 7       # 保留最近7份
    compress       # 压缩旧日志
    notifempty     # 空日志不分割
    create 640 root adm  # 创建新日志的权限
}

手动触发分割：

logrotate /etc/logrotate.d/tomcat

3.2 使用命令行工具深度分析

统计错误频率：通过grep+sort+uniq组合，统计错误出现的次数（按频率排序）：

grep -i "ERROR" /path/to/tomcat/logs/catalina.out | awk '{print $1, $2, $3, $4, $5}' | sort | uniq -c | sort -nr

查找内存溢出错误：快速定位OutOfMemoryError：

grep -i "OutOfMemoryError" /path/to/tomcat/logs/catalina.out

提取堆栈跟踪：结合awk提取异常堆栈（以at开头的行）：
```
grep -A 20 "java.lang.NullPointerException" /path/to/tomcat/logs/catalina.out | grep -B 20 -A 20 "^at "
```
上述命令提取NullPointerException及其前后20行的堆栈信息。

3.3 使用日志分析工具

对于大规模日志或需要可视化的场景，推荐使用以下工具：

ELK Stack（Elasticsearch+Logstash+Kibana）：
- Logstash：收集、解析Tomcat日志（如catalina.out、access_log）；
- Elasticsearch：存储、索引日志数据；
- Kibana：可视化分析（如错误趋势、访问量统计、响应时间分布）。
Graylog：开源日志管理平台，支持日志收集、搜索、告警（如当ERROR日志超过阈值时发送邮件）。
Splunk：商业工具，提供强大的搜索、分析和可视化功能（适合企业级场景）。

4. 日志配置优化

通过修改Tomcat的conf/logging.properties文件，可调整日志级别、格式和输出位置：

调整日志级别：将org.apache.catalina的级别从INFO改为FINE（记录更详细信息），但会增加日志量：
```
org.apache.catalina.level = FINE
```

自定义日志格式：修改AccessLogValve配置（在server.xml中），调整访问日志的字段（如添加客户端User-Agent）：

<Valve className="org.apache.catalina.valves.AccessLogValve" directory="logs"
       prefix="localhost_access_log" suffix=".txt"
       pattern="%h %l %u %t "%r" %s %b "%{User-Agent}i"" />

上述pattern中，%{User-Agent}i表示记录客户端浏览器信息。

5. 常见日志分析场景

故障排查：通过ERROR日志定位应用崩溃、数据库连接失败等问题；
性能监控：分析访问日志中的响应时间（需在pattern中添加%D，记录请求处理时间）、吞吐量（每秒请求数）；
安全审计：检查异常访问（如频繁的404请求、SQL注入尝试），识别潜在攻击。