第 9 篇：查找与过滤 – find, grep, 管道

学习目标

• 使用 find 按名称、类型、大小、时间查找文件
• 使用 grep 在文件或输出中搜索文本
• 熟练运用管道 | 组合命令

核心概念

find – 文件查找

find /etc -name "*.conf"          # 按文件名
find /var -type f -size +10M      # 大于 10M 的文件
find /home -mtime -7              # 7 天内修改过的文件
find . -type d -name "backup"     # 查找目录
find /var -type f -size +10M -print0 | xargs -0 ls -lhS # 大于 10M 的文件，并按照Size倒序排列

• -print0 ：输出不是换行分隔，而是用 \0 这个看不见的特殊符号分隔
• xargs -0： 指定\0分割符。文件名里的空格、换行、奇怪字符都不会被当成分隔

grep – 文本搜索

grep "error" /var/log/messages          # 基本搜索
grep -i "error" log                     # 忽略大小写
grep -r "TODO" ~/projects/              # 递归搜索目录
grep -v "debug" log                     # 反向匹配（不含 debug）

管道 |

将一个命令的标准输出作为另一个命令的标准输入。

ls -la | grep "^-" | wc -l          # 统计当前目录普通文件数量
ps aux | grep nginx                 # 查看 nginx 进程

• wc -l：wc（Word Count） -l:line，统计行数。

动手实验

实验 1：find 多种条件组合

# 查找 /var/log 下 7 天内修改且大于 1M 的日志文件
find /var/log -type f -name "*.log" -mtime -7 -size +1M

实验 2：grep 结合正则

grep "^[0-9]" /var/log/secure      # 查找以数字开头的行
grep -E "Failed|Accepted" /var/log/secure   # 扩展正则

-E的作用只有一个，让|不用转义。
否者就要这样写：

grep "Failed\|Accepted" /var/log/secure

实验 3：管道链式处理

# 找出最常用的 10 个命令
history | awk '{print $2}' | sort | uniq -c | sort -nr | head -10

常见错误

• find 忽略权限错误：find / -name "*.conf" 2>/dev/null
  • 2>/dev/null：让错误信息丢掉。
• grep 搜索二进制文件：加 -a 或 --text
  • 有些文件（如日志、缓存、图片）grep 默认会认为是二进制文件，直接跳过，不搜索。加 -a 就能强制搜索。

思考题

1. find 的 -exec 选项如何使用？举例说明。
2. 如何统计 /var/log 中包含 "ERROR" 的行数？