自从Sierra开始苹果更新了Unified Log命令，感兴趣的可以打log help查看。尽管console做的还行，我还是觉得iterm里看log比较舒服。注意，有些易失的log只能在console查看，暂时没有找到用命令行查看的方法。

我们常用的命令通常逃不过

log show --start [] --end [] --last [] --predicate [] --style []

这个句式，以下命令均大小写敏感。

--start [] --end []
这个很好理解，就是填入要查询的log的UTC时间，例如：

--start '2019-01-01 01:01:01' --end '2016-02-02 02:02:02'

--last []
这个也很好理解，指的是现在时间往前多少天，多少小时或者多少分钟，例如：

-last 23h

--predicate
predicate讲究就比较多了，其中常用的几个类

  • eventMessage
    这个是可以拿来搜索所有输出信息中包含设定字符的log，例如 
    --predicate 'eventMessage contains "System Wake"'
  • process
    用名称对应进程名，例如
    --predicate 'process == "iterm2"'
  • subsystem
    用名称对应子系统名，具体你要查看log的应用使用了哪些subsystem可以先用process查询，或者直接在console里查看，注意同一个subsystem可以被很多应用使用，所有最好搭配process一起查询，举例： 
    --predicate 'subsystem == "com.apple.TimeMachine"'
  • messageType
    查看消息类型，一般与别的predicate配合使用，精简输出，举例： 
    --predicate 'messageType == error'
  • processID
    顾名思义，查询特定PID的log

--sytle
默认是syslog，也可以输出JSON然后用自己的程序来parse，对开发非常有用。其实不加也无所谓，iterm+ohmyzsh高亮看着舒服多了。

下面就来看几个Mac原生应用log的实战吧！

  1. log show --last 1d --predicate '(process == "VDCAssistant") and (messageType == default)'

    iSight相机被使用时会调用VDCAssistant，勉强能代替Micro Snitch和Oversight，看个大概。

  2. log show --last 1d --predicate 'eventMessage contains "screen is locked"'
    log show --last 1d --predicate 'eventMessage contains "Screen is NOT locked"'

    查看锁屏和解锁信息，比用

    pmset -g log|grep -e " Sleep  " -e " Wake  "
    看睡眠和唤醒要准确的多，因为锁屏时Mac不一定进入睡眠，具体看pmset中的设定。请注意命令大小写敏感，锁屏用的是LWScreenLock模块，是全小写的信息，解锁用的是LWAuthServiceManager，大小写就比较奔放了。

  3. 如果对Mac的解锁过程感兴趣还可以用以下命令查看。

    log show --last 1d --predicate 'process == "coreauthd"'
 log show --last 1d --predicate 'process == "loginwindow"'
 log show --last 1d --predicate 'eventMessage contains "LWAuthServiceManager"'

  4. 查看Time Machine到底在搞什么鬼：

    log show --last 1d --predicate 'senderImagePath contains "TimeMachine"' --info

今天的分享先到这里，其实我的初衷是想做个简单点的类似Oversight的应用出来练练手，看能不能把命令行包装一下，现在看来实在不行，而且lsof的性能莫名的差，不知道怎么办了。

祝各位生活愉快！