做了十年的Linux运维，摸过的发行版从CentOS 6一路到Rocky 9，看过上千份日志、排过几万个故障，如果用一句话总结最离不开的命令，我会先投less一票。这命令看起来平平无奇，就是个翻页工具，但真把它用透的人不多。我见过很多同事排查问题时还在用vi打开几百兆的日志，然后一路GG到底，再用dd删掉不想看的内容，最后把文件搞乱了；也有人习惯cat加grep来过滤，但每次都要重新读一遍文件，小文件还行，到了G级别的日志就明显力不从心。
less这名字本身就是个黑色幽默——less is more，比more功能更多，却起了个叫“少”的名字。它能在不把整个文件加载进内存的情况下，快速打开几十G的日志，支持前后翻页、精准搜索、实时跟随、书签跳转，甚至能把多个文件串起来浏览。对运维、开发、数据分析师来说，它是排查日志、查看配置、浏览大文件的常备工具。这篇就把我这些年用less的经验系统梳理一遍，从基础按键到高级技巧，从环境配置到实战组合，全是我实际干活时顺手的东西。
1. 内容整体设计与思路拆解
1.1 为什么非得是less，而不是more、cat或vi
回答这个问题前，先说一个被问过无数次的问题：less和more到底啥区别。很多刚从Windows转过来的新手以为less是more的简化版，毕竟名字摆在那。实际正好相反，less是在more的基础上重写的增强替代品，GNU的less项目从1984年诞生至今，一直保持着“更少即是更多”的设计哲学——用更少的资源，做更多的事。
more有个致命短板：它只能向下翻页，翻过去的内容就回不来了，想回头看按b也只支持部分终端，而且对大文件的加载方式并不友好。less则彻底解决了这个问题，它支持上下双向翻页、任意跳转、增量搜索、多文件切换，还内置了丰富的配置系统。我自己的习惯是：查看任何文本内容，只要不是需要编辑，一律用less；需要编辑才用vim。如果你在命令行里随手敲了cat一个大文件，结果整屏刷满乱码，只能按Ctrl+C终止——这个场景有过的人，换到less会格外珍惜。
再说说cat和vi的劣势。cat的本质是把文件内容打印到标准输出，它适合查看小文件、拼接文件，但用在日志查看上就是给自己添堵：文件一长，前面的内容全部滚出屏幕，想找一条关键报错只能靠肉眼和记忆力。vi则是一个文本编辑器，打开大文件时会先把内容载入交换文件（swap），动不动触发内存溢出或者磁盘写满，用来只读查看属于杀鸡用牛刀，还容易误改文件内容。less定位精准：只读分页查看器，绝不自作主张修改文件，所以它永远是最安全的选择。
1.2 less处理大文件的核心思路：不读完全部，按需加载
less能轻松打开几个G的文件，根本原因在于它采用了“按需读取”的设计。具体来说，less在启动时只读取文件的一部分内容到缓冲区（默认是屏幕能显示的量加上一定的预读量），你往下翻页时它才继续从磁盘读取后续内容。这就意味着，文件多大都不影响启动速度，也不会占满内存。
用个生活化的类比：读一本一千页的小说，你不可能一次性把全书背下来，正常操作是打开书读当前这一页，翻页时再读下一页。less就是那个帮你翻书的助手，每次只把当前页和附近几页摆在桌面上，你翻到哪它才翻到哪。vi则像是个整理狂，打开书第一件事就是复印一整本存到抽屉里（swap文件），书越厚复印越久，抽屉还可能塞不下。这个设计差异，在生产环境处理动辄几个G的业务日志时，效果就是天壤之别。
less的这个架构还衍生出了一个隐藏能力：它可以在文件还没完全读完的情况下就开始操作，比如你想看文件最后几行，直接按G跳转，这时你会看到屏幕底部有个[97%]或者(tail)的提示，说明less正在往文件尾部跳跃，这个过程可能持续几秒，但不需要等待文件全部加载。相比vi打开大文件时那漫长的“读入中”，体验完全不是一个量级。
2. 核心细节解析与实操要点
2.1 基础翻页与定位操作：把方向键、空格、G用到肌肉记忆
很多人用less就只会按空格翻页，这等于买了一台好车只会上D挡。less的按键体系非常成熟，我把日常使用频率最高的操作总结成一张速查表，照着练几遍，基本就能形成肌肉记忆：
| 功能 | 按键 | 备注 |
|---|---|---|
| 向下翻一页 | 空格或f | 也可用PageDown |
| 向上翻一页 | b | 也可用PageUp，但b不依赖键盘布局 |
| 向下翻半页 | d或Ctrl+D | 日志连续翻看时很顺手 |
| 向上翻半页 | u或Ctrl+U | 找上下文时常用 |
| 向下翻一行 | j或Enter | 或直接按方向键下 |
| 向上翻一行 | k | 或直接按方向键上 |
| 跳到文件开头 | g | 小写g，瞬间到达 |
| 跳到文件结尾 | G | 大写G，等于tail的效果 |
| 跳到第N行 | N+G | 比如100G直接跳100行 |
| 显示行号 | -N | 再次输入-N取消 |
| 实时显示当前行号 | Ctrl+G | 屏幕底部显示文件和行号信息 |
这里有个容易被忽略的操作：d和u翻半页，在阅读日志时的高级用法是配合j/k做精细定位。比如你在日志中跟踪一个事务的完整过程，日志行数不多但恰好跨屏，这时候按d翻半页、再按j逐行微调，比整页翻来翻去效率高一截。
至于数字跳行，这是考场和面试题里经常出现的点：输入50G即跳转到第50行，1G和g等效，$和G略有差异——$跳到当前行的行尾，这个区别容易混淆，我建议把G记成“文末”，把$记成“行尾”。Linux的less面试题里还常问“如何用less打开文件并定位到第500行”，答案是less +500g filename或less +500 filename，启动时直接带着跳转参数，这种写法在自动巡检脚本里尤其好用。
2.2 行号显示与文件信息：别把行号功能当成摆设
我见过不少同事用less从不用-N显示行号，理由是“看着碍眼”。但在排查问题的时候，行号是沟通和定位的锚点——你跟开发说“日志在3000行左右有个空指针”，对方能秒懂；你说“在第四屏靠中间位置”，对方只能黑人问号。
显示行号的方式有三种，适用场景不同：
- 启动时加参数：
less -N filename，适合从开头就知道自己要盯着行号看的情况 - 运行时敲命令：进入
less后输入-N，立刻显示行号，再输一次-N关闭 - 环境变量长期启用：在
~/.bashrc里设置export LESS="-N"，这样每次打开都默认带行号
第三种的优缺点都很明显。优点是一劳永逸，缺点是如果你只是想快速瞄一眼文件内容，满屏行号确实干扰阅读。我个人建议：日常工作机上不要全局启用-N，而是养成运行时随时切换的习惯。按下-N只要两秒钟，比设置环境变量再去来回切场景灵活得多。
另外，按Ctrl+G可以在屏幕底部看到“当前行号/文件总行数”以及文件名，这在处理超长日志时是很有用的进度参考。有时候你写脚本处理日志，需要知道错误发生在文件的大致百分比位置，Ctrl+G给出的58%配合行号比肉眼估算准得多。
2.3 标记与快速往返：处理多关注点时less的“书签”玩法
less内置的标记功能（mark）在日常使用中是一个极易被忽视的利器，用好了能省下大把重复翻页的时间。标记的语法是：按m键加上任意一个小写字母（a-z共26个可用标记位），将当前位置打上标记；之后按单引号'再加对应字母，就能快速跳回到标记处。
我把这个功能的典型使用场景拆解一下：假设你在排查一个接口超时问题，日志文件里相关的报错散落在四处位置。以前的做法是找到第一处报错，看完上下文，然后一路翻屏去找第二处，经常翻过头又得回头，非常痛苦。用标记后，我每找到一处报错就顺手按ma、mb、mc打上标记，检查完所有位置后，用'a、'b、'c在几个点之间来回跳，每次跳转都像瞬移一样精准。
还有一个技巧：两个标记之间的内容，如果想单独提取出来，可以用less结合sed来做。先定位到起始标记的位置，Ctrl+G看行号，然后用sed -n '100,250p' logfile把这个区间的内容抽出来单独分析。标记负责定位，sed负责截取，这组配合在你给开发同事发关键日志片段时特别顺手，不用再拖一整个大文件给人。
3. 实操过程与核心环节实现
3.1 搜索与过滤：解决“日志里找一条错”的效率问题
less的搜索能力是它相比more的一大优势，也是日常排查日志使用频率最高的功能。按/输入关键词回车，会向下搜索；按?输入关键词，会向上搜索。这个基础用法几乎所有人都会，但有几个进阶点值得单独讲一下。
第一个进阶点是高亮控制。搜索后所有匹配到的关键词都会高亮显示，但如果内容很多，高亮会显得满屏都是花点。按n跳转到下一个匹配，按N跳转到上一个匹配，这条命令在面试题里出现的频率极高，因为它考察的是你是否真的用过less而非背命令。想取消高亮，不需要退出重进，按Esc键再按u键（部分版本是Alt+U或直接按-i后的u），高亮就会暂时消除，按n再次搜索时高亮会重新出现。
第二个进阶点是搜索的“向后继续”行为：less的搜索不是只搜到文件末尾就停，它会从末尾绕回开头继续找，除非你关闭这个行为。这个特性起初可能觉得怪异，但在大文件里其实挺合理——它保证任何一次搜索都能找到所有匹配项，不会因为起点选择不当而漏掉结果。如果你只想搜某个区间，可以先用G跳到尾部，再用g回到头部，把搜索范围人为限定在两处之间。
第三个进阶点是大小写匹配控制。默认less搜索区分大小写，这在你搜一个变量名时是好事；但如果你想忽略大小写，无需重新输入关键词，按-i开启忽略大小写模式后，之前输入的搜索词会立即按新规则重新匹配。这个开关对日志搜索来说用处很大——日志里的错误码可能是ERROR、Error、error三种写法，以前只能分别搜三次，开启-i后一次搞定。
还有一个经常被忽略的快捷键：Ctrl+R。它不是刷新屏幕，而是打开搜索历史，让你在之前的搜索词之间前后翻阅选择。如果你在排查问题时连续使用了多个不同的搜索词，这个功能能让你快速切回之前的关键词，尤其是那个写了一半没搜完的长正则——按Ctrl+R找到它继续编辑，能省掉重新输入的时间。
3.2 实时文件查看：less + F，比 tail -f 更耐用的日志跟随方案
tail -f可能是运维人员查看实时日志的第一反应，但如果你要在实时查看的同时还要往前翻上下文、搜索关键词，tail -f就显得力不从心了。less的F模式（大写F）正是为此设计的：进入文件后按F，less会进入类似tail -f的跟随模式，文件有新内容写入时会自动滚动到末尾显示；按Ctrl+C退出跟随模式，回到普通翻页模式。
这个模式的价值在于“跟随”和“翻页”的无缝切换。用tail -f时想回头看之前的日志，只能再开一个窗口；但less + F模式下，你按Ctrl+C退出跟随，就可以自由地上翻查看历史内容，看完再按F重新进入跟随，操作一气呵成。排查线上问题时效率提升非常明显，我在定位一个接口偶发超时的bug时，就是通过这个模式一边盯着实时日志，一边反复翻看之前的几次超时记录，才找到了规律。
如果追求更强的实时体验，还有一个比F更精细的选项：less支持+F作为启动参数，即less +F filename，打开文件的同时自动进入跟随模式，省去进入后再按一次F的步骤。在跟进一个正在疯狂输出的日志文件时，这种写法能让你少按一个键，但体验好一截。
跟随模式还有一个适合写自动化脚本的小技巧：less跟随模式支持-S参数控制是否换行。如果你在查看的日志单行特别长，默认情况下less会把长行折行显示，紧跟模式下的折行会让屏幕刷新非常频繁，肉眼很难看清。加-S参数后，长行会被截断而不是折行，横向滚动查看，这在查看前端请求的完整URL或者堆栈日志时格外适用。我在处理ELK里的原始JSON日志时，常配合-S使用，效果立竿见影。
3.3 多文件操作：用less同时管理多个日志文件
less不只是一个文件查看器，它还能同时打开多个文件，并在它们之间切换。启动时直接列出多个文件名，比如less access.log error.log app.log，然后可以在文件之间跳转，这在对比排查时是一把利器。
文件切换的按键规则是：输入:n切换到下一个文件，输入:p切换到上一个文件。注意这两个命令都带有冒号前缀，输入时就像在vi里执行命令一样。如果你想看当前打开的是第几个文件、总共打开了几个文件，输入:files回车，less会在底部列出文件列表和当前文件状态。
这个功能在日志按天切分场景下格外实用：假设你是凌晨接手一个故障，需要同时看昨天的日志和今天的日志，直接用less把两个文件一起打开，在:环境里来回切，比自己退出重开两个终端方便得多。我在配置文件对比场景中也有类似用法——先less打开两个版本的配置文件，用:n/:p反复切换，配合Ctrl+G查看行号，很容易发现配置项的增减。
还有一个更进阶的多文件玩法：结合通配符。less /var/log/nginx/access.log.2025-0[1-3]*一次打开三个文件，这在处理分区日志时很省事。打开后可以通过:n按顺序浏览，或者用搜索功能跨文件查找——less的搜索在切到下一个文件后会自动携带之前的搜索词，也就是说你在第一个文件里搜error，切换到第二个文件时直接按n，它会接着在第二个文件里继续搜error。这个“跨文件连续搜索”功能在排查跨文件的关联错误时效率极高。
3.4 less的配置与自定义：LESS环境变量和lesskey
less的配置主要通过环境变量LESS和LESSKEY系统来实现，这部分是很多教程不会细讲、但实际体验提升非常明显的部分。
最常用的环境变量配置写在~/.bashrc里，我摘一段自己常用的配置：
export LESS="-i -N -x4 -F -R"逐项解释这几个参数的含义和作用：
-i：搜索时默认忽略大小写。日志里大小写混用是常态，默认不区分大小写能省掉不少重复搜索-N：显示行号。刚才说过，我习惯运行时手动切，所以这个参数在生产服务器上反而不常开-x4：设置Tab键显示为4个空格宽度。查看配置文件（如YAML、Python代码）时，缩进对齐会舒服很多-F：如果文件内容少于一屏，less自动退出，不进入交互模式。这个参数在脚本里用less查看小文件时很友好，不会卡在分页界面等用户按q-R：保留ANSI颜色转义序列。查看带颜色高亮的日志（比如systemctl status输出或一些脚本的彩色输出）时，颜色能正常显示
设置完后记得source ~/.bashrc生效。还有两个常用参数值得单独提：-S（截断长行）和-j（搜索时把匹配行定位在屏幕指定行）。-j的用法比较冷门，比如less -j5 file，搜索到匹配项时不会把匹配行放在屏幕最顶部，而是放在第5行位置，这样可以同时看到匹配项的上文4行，对分析日志上下文很有帮助。
如果只是改按键映射，不用动环境变量，可以用lesskey命令。lesskey允许你自定义键位绑定，配置文件默认是~/.lesskey。我之前自定义过几个操作：把F11绑定成-N快捷键、把Ctrl+D绑定为d（向下翻半页）、把F5绑定为F（进入跟随模式）。自定义语法很简单：
^[ [ 1 1 ~ = -N # F11显示/取消行号 ^[ [ 1 3 ~ = F # F5进入跟随模式写完执行lesskey命令编译，重新进入less即可生效。这个命令在多数发行版中默认装有，如果遇到lesskey: command not found，装一下less的对应工具包（如less包里的lesskey组件）就能解决。
配置这件事我建议别一上来就追求复杂，先加-R和-i两个参数，等用多了再逐步添加。一下子把所有参数都加上，你可能会被不熟悉的行为搞晕——比如开了-N后觉得自己被行号束缚，反而影响阅读。
4. 常见问题与排查技巧实录
4.1 打开文件显示乱码或转义字符：^@、^M、ESC等符号之谜
用less打开二进制文件或某些特殊格式文件时，屏幕上可能会出现大量^@、^M、^[[31m这类怪异的字符序列。这些不是文件本身内容错了，而是less把不可见字符和控制字符原样展示出来了。
^@是空字节（0x00）的显示方式，常见于二进制文件、数据库导出文件或某些非UTF-8编码的文本。^M是回车符（CR，0x0D）的显示方式，最常见于Windows换行风格的文本文件——less默认按Unix风格处理换行，Windows文件的\r\n在less里会把\r显示成^M。至于^[[31m这种，是ANSI颜色转义序列，正常有颜色的程序输出在终端里被解释成了颜色，但如果less没有按-R参数解析，它就会原样显示出来。
处理办法分情况：
- 如果是
^M换行问题，用less -X或dos2unix转换文件后查看 - 如果是UTF-8编码识别问题，检查一下终端编码设置，
locale命令确认系统编码 - 如果是二进制文件，强烈建议先确认你想干的是啥——
less真不适合读二进制，换xxd或hexdump查看更科学
这个问题的排查思路可以总结成三步：看是哪种符号，推导文件里是什么控制字节，再决定是转换编码、改变less参数还是换工具。很多人第一次遇到^M直接懵了，其实只要理解了\r\n和\n的区别，思路就很清晰。
4.2 终端宽度影响less显示：折行与截断的选择困境
默认情况下，less在显示长行时会自动折行（wrap），即一行内容超过终端宽度就折到下一行显示。这在查看普通文本文件时是符合预期的，但在看超长日志行（比如完整的一条JSON日志、一长串URL）时，折行会让你对不上行号和分析上下文。
两种模式可以切换：按-S开启截断模式，长行不再折行，超出屏幕的内容被隐藏，按左右方向键可以在行内横向滚动。再按一次-S恢复折行模式。
这里给一个实操建议：处理日志类文件时，默认开启-S，然后通过左右方向键横向滚动查看长行内容。但-S有一个代价——它会隐藏超宽行的一部分，可能导致你以为某行只有半屏内容，实际后面还有其他字段没看到。所以，当你不确定某行长到什么程度时，先关掉-S看完整内容，再用-S保持整洁，这个切换按键就在手边，养成习惯并不难。
另外，如果你经常在同一个终端宽度下工作，可以给less设置终端宽度参数-w（比如less -w 200 file），让它在更宽的显示区域下处理内容。但这个参数在现代终端里用处不大，因为终端大部分是自适应宽度的，-S和左右键滚动已经足够灵活。
4.3 less处理日志时常见卡顿、内存和性能问题
less虽然以能打开大文件著称，但某些场景下也会卡顿或者表现得异常。我总结了几种常见情况：
第一种是打开文件时卡住不动。这种多半发生在网络文件系统（NFS、CIFS）或者远程挂载的存储上，less在读取文件元数据和预读内容时等待网络IO响应。排查方法是先stat一下文件看到底多大多快，或者干脆把文件先复制到本地再打开。生产环境里NFS延迟导致的less卡顿非常普遍，不是less本身的问题，是底层存储太慢。
第二种是-S模式下横向滚动卡顿。如果你打开了一个每行几万字符的文件（比如单行的超大JSON），-S模式下按右方向键，less需要逐字符重绘屏幕，卡顿感会很明显。这种情况建议用fold或者fmt先处理一下，把超长行折叠，再交给less查看。
第三种是内存占用异常偏高。虽然less是流式加载，但它会在缓冲区里缓存已经浏览过的内容。如果你浏览完一个大文件的全部内容，缓冲区累积起来也会占用较多内存。那种只在文件尾部反复看新日志的场景，可以结合tail -n 500 file | less先截取一部分再查看，能有效控制内存。
性能问题的排查思路也很直接：用time less -N file测一下打开耗时，用top看less进程的内存占用。最稳定的方案永远是“先截断，再查看”——用tail/head/grep把文件缩小到可接受范围，再交给less做精细阅读，这也是我在生产环境里一直推荐的组合拳。
4.4 掌握less与其他常用工具的组合拳
最后聊一下我在实际项目中反复打磨出来的less组合用法。单看less能力有限，和Linux下的其他文本工具搭配，才是成熟运维的效率来源。
第一个组合是grep加less。我不太建议直接grep输出后管道给less来做进一步交互筛选，因为管道进来的内容大多是文件的部分行，搜索时N和n的行为会受限（它只能翻已经读入缓冲的内容）。更稳妥的方式是先用grep -n找出关键行号，再用less +行号精准打开。这个习惯在你需要分析超大日志时尤其有效，grep负责缩小范围，less负责深度阅读和上下文分析，分工明确。
第二个组合是find加less。find /var/log -name "*.log" -mtime -3 -exec ls -lh {} \;先列出最近三天修改的日志文件，挑出大文件后，less +F进去实时跟看。这在故障排查时非常顺手，不用在日志目录里一个个ls看文件名猜哪个在更新。
第三个组合是zcat和less的组合。服务器上的日志会压缩归档，gz文件不能直接less，但可以zcat app.log.gz | less。或者如果系统装了lesspipe（多数发行版自带），直接less app.log.gz，less会自动调用gzip解压后查看。这个能力在翻历史归档日志时非常实用。
组合拳的核心思想是“各司其职”：grep负责小范围定位、sed/awk负责精确截取、tail负责控制尾部、less负责友好交互。没有万能的工具，但组合起来几乎无所不能。
5. 写在最后的实践建议
接触less这么多年，我最大的体会是：命令工具不在于数量多，而在于真正吃透的那几个用到了极致。less看起来简单，但它的细节设计极其丰富——单向翻页、双向搜索、书签跳转、实时跟随、多文件切换，每一个能力都对应着一个实际场景。如果你只是用它来翻页看文件，那等于只发挥了三成实力。
我自己每次换新服务器，第一件事就是配置好LESS环境变量和lesskey，这已经成了肌肉记忆。建议你从最简单的-R和-i开始，逐步增加符合自己习惯的参数；遇到陌生的日志格式，先用less探索一下结构，再决定消息用grep、sed还是awk去处理。工具是死的，用法是活的——把这一个命令吃透，比记住一百个命令的拼写要实用得多。这个看似不起眼的less，值得你花半小时把它的按键和参数过一遍，然后在未来无数个日夜里，它都会回馈你同等的效率。
函数进制解析与安全绕过原理详解)
