在Linux终端里摸爬滚打这些年如果让我从常用命令里挑一个最被低估、却又最高频用到的我大概率会选head。你测试一个新接口返回的响应可能只需要看前几行你在排查一个几GB的日志文件不会傻到直接cat第一反应往往是head先瞄一眼。head这个命令从名字就能看出来就是取一段内容的头部它简单到三分钟就能学会但在脚本里用得好能省下一大堆不必要的IO和调试时间。这篇文章适合Linux初学者、运维工程师、后端开发以及正在准备Linux面试的朋友我会把head的核心参数、实战组合用法、还有那些文档里不会写的坑一次讲透。1. 先说结论head命令到底解决什么问题1.1 一个场景让你记住head先说一个我印象很深的例子。有次线上服务半夜报警登录到机器上后我第一件事不是去看监控面板而是打开服务启动日志用head -n 30看了它的前30行。为什么看前30行因为很多服务在启动时会打印版本号、加载的配置文件路径、初始化参数这些信息全部集中在日志最开头。如果启动阶段就已经出错比如配置文件路径写错、依赖的端口被占用你在日志头部一眼就能看到异常。那次恰好是配置文件里多了一个非法字符head扫过去几秒钟就锁定了问题连日志搜索都不用做。如果你用cat打开一个几百MB的启动日志不是不行但输出瞬间会占据整个终端之前的屏幕记录全被冲掉你反而更不容易看到最前面的关键信息。head相当于帮你把“开头”单独拎出来放在桌上其他内容先不碰。这种“先看关键部位”的思路在处理任何大文件时都成立而且越是大文件head的这个价值就越明显。再说一个不太起眼但很实用的场景很多命令的输出第一行是标题行。比如ps aux、ls -l、df -h这些命令的输出第一行都是列名称。如果你想快速确认某个输出里有哪些列直接ps aux | head -n 1 就够没必要把整页输出全拉一遍。如果你发现某个命令输出顺序乱了先用head看标题行往往能帮你快速理解每一列的含义。1.2 head与cat、tail、less的分工在刚学Linux的时候最容易混淆的是head、tail、cat、less这几个命令。它们都能查看文件内容但侧重点完全不同。我习惯用这张表来理解命令主要用途适用场景cat输出全部内容小文件、文件拼接head只读取文件开头部分看头部、抽样、管道截断tail只读取文件末尾部分看日志最新写入可配合-f实时跟踪less分页交互式浏览大文件上下翻页、搜索实际使用中cat是最容易被滥用的。很多人一上来就cat大日志结果屏幕疯狂刷新旧内容根本看不清如果文件里有特殊控制字符终端还可能出现乱码甚至短暂卡死。head和tail的价值就在于“按需读取”避免一次把数据全倒出来。核心思路很简单你只需要文件的一小段就只读那一小段不要贪多。head和tail是一对镜像但它们的应用场景差异很大tail因为经常和-f一起用成了日志追踪的标配head则更多用于“抽样确认”。举个例子你收到一份第三方提供的接口文档文件是Markdown格式的你想快速确认它的结构head -n 50先看目录和前几节比用编辑器打开更省事。less的优势是交互式你可以随时按/搜索关键字按G跳到底部。但如果只是想知道文件开头写了什么head显然更轻快而且head的结果可以直接作为下一个命令的输入。less偏向人机交互不适合在管道里串联。现在很多工具的--help输出特别长less一页还看不完我反而更常用cmd --help | head -n 30来快速看前几个参数。1.3 基本语法三分钟上手head的语法非常规整head [选项] [文件...]如果不加任何选项head默认显示文件的前10行。这个默认值一定要记住因为很多面试题就喜欢在这里挖坑问head默认显示几行回答5行的十有八九是记混了。tail默认同样是10行不是5行这俩千万别搞反。最常见的调用方式是head -n 5 /etc/passwd这条命令会显示/etc/passwd的前5行。它等价于旧的写法head -5 /etc/passwd。不过我个人建议在脚本和示例里统一使用-n 5这种写法语义清楚也更容易扩展。如果同时指定多个文件head会在每个文件内容前打印一个形如“ 文件名 ”的标题块告诉你当前看的是哪个文件。比如head -n 2 /etc/passwd /etc/group输出里就会带上文件名标识。这个行为由-q和-v参数控制后面专门讲。值得注意的一个点是head默认读取的是文件开头不会对文件做任何修改。它和cat都是只读操作放心用。很多人刚接触时以为head命令会“截断”文件其实完全不是。真正会截断文件的命令是truncate或是重定向符head只是一个阅读工具。2. 核心参数拆解-n、-c、-q、-v2.1 -n按行取内容最常用的参数就是-n。它后面跟一个数字表示取多少行。head -n 100 表示取前100行head -n 1表示只取第一行。这个参数看起来简单但有几个细节需要留意。第一个细节是当数字前面有负号时head的GNU版本会把它解释成“除了最后N行之外的所有行”。比如head -n -5 /etc/passwd这条命令会输出/etc/passwd的全部内容但把最后5行去掉。如果你事先不知道这个语法看到命令可能会一头雾水。这个特性在GNU coreutils环境里可用比如常见的Ubuntu、CentOS、Rocky Linux但在某些精简环境或BSD系统上行为可能不一致。跨平台脚本里建议不要依赖这种负数写法老老实实用head -n N截取前N行要去掉末尾N行可以用sed代替。第二个细节是head -n 0 的结果是什么它会输出空内容什么也不打印。别小看这个写法在一些脚本里你会用它来“消费”上游命令的输出而不保留内容效果类似于把输出丢弃但更明确。不过更常见的丢弃输出方式是重定向到/dev/null这里提一下就好实际用的频率并不高。第三个细节是很多人以为head -n 100会先把整个文件读完再挑前100行其实不是。head是流式读取的它逐行读取只要凑够指定的行数就立刻停止读取不再继续向后扫。这一点在管道里尤其重要比如head从tail -f或curl的持续输出中取够行数后head会退出同时管道上游进程会收到一个SIGPIPE信号。后面在问题排查部分我会专门展开讲。2.2 -c按字节取内容有些时候你要的不是几行而是固定长度的字节。比如从一个二进制文件里提取文件头或者测试环境里生成一个固定大小的文件head -c就派上用场了。head -c 512 /path/to/file这条命令输出文件的前512个字节。你也可以加上单位后缀比如head -c 1k、head -c 2MGNU coreutils都支持。注意这里的大小写在GNU实现中k和M分别表示1024G表示1024的3次方但如果你明确想用1000进制可以用KB、MB这样的写法具体要看实现。日常运维里直接用1k、1M最常见。用head -c生成固定大小文件的例子head -c 1M /dev/zero /tmp/1m.img这会生成一个正好1MB的文件。如果你没有head通常要借助dddd if/dev/zero of/tmp/1m.img bs1M count1。head -c的写法更短但它的灵活性不如dd比如dd可以指定起始偏移量head -c只能从头部开始。所以真要做精确的二进制拷贝、跳读还是回到ddhead只适合快速取前面一小段。按字节取内容还有一个容易踩的坑如果文件是UTF-8编码而你要按字节截取可能会把一个多字节中文字符拦腰截断导致输出内容尾部出现乱码。比如“中”这个字的UTF-8编码是3个字节head -c 1读到的是第一个字节终端最终显示就会变成乱码或问号。处理文本时能用行就用行除非你明确知道自己要多少字节。2.3 -q和-v控制多文件输出当head后面跟了多个文件时默认行为是先打印一个文件名标题再打印内容。这个设计在多数情况下是贴心的但如果你想纯粹拿内容去喂给下一个命令标题行反而会碍事。此时用-qquiet参数关闭文件标题head -q -n 1 /etc/passwd /etc/group这条命令会把两个文件各自的第一行连续打印出来中间不加任何文件名。反过来如果你只想看某个文件但希望head强制打印文件名标题可以用-v参数。默认情况下只有多文件时才打印单文件不打印v可以打破这个默认。这两个参数不算高频但在脚本里很实用。比如你要遍历一批配置文件的第一个非注释行用-q把标题去掉后续grep、awk处理起来更干净。注意q和v是互斥的同时使用时的优先级在不同版本的coreutils里可能不完全一样所以我不建议你在一条命令里同时写-q和-v那样写出来的命令别人读起来也容易糊涂。2.4 顺带分清head这个词的其他领域含义如果你在搜索引擎里输入“Linux head”有时候会看到无关的内容比如“yolov8 head改进”。这里我简单把几种常见的“head”含义区分一下免得绕弯路。第一Linux命令head就是我们这篇讲的文件取头部工具。第二在文件系统或磁盘语境里head也可能指磁头hard disk head或者分区表结构中的头部区域这些和head命令是完全不同的概念。第三在深度学习目标检测模型里比如YOLOv8Head指的是检测头负责从特征图里预测目标的类别和位置。那里说的“Head改进”指的是网络结构改动跟你在终端敲的head没有关系。明白这些区别后你看到“Linux head”不会再把网络结构和命令行混为一谈。尤其是做运维又接触AI的朋友看到同一个词出现在不同技术栈里第一反应应该是“这是哪个领域的head”而不是硬套自己已知的概念。3. 实战head在日志排查和脚本里的组合用法3.1 用head快速定位程序启动日志生产环境里日志文件越大越需要先用head建立全局印象。比如你接手一个别人留下的服务不知道它怎么启动的、依赖什么配置那就可以先看看启动日志的前几十行。head -n 50 /opt/app/logs/startup.log很多服务启动时会打印Java版本、Spring Boot的Banner、监听端口、加载的配置文件等。这些信息都集中在日志头部。我遇到过一种情况日志文件大小有2GB多但实际有效启动信息就是最前面的几千行后面全是重复的空指针异常。用head -n 2000先取出开头两千行再配合grep -E ERROR|Exception过滤很快就能定位到第一处异常发生的位置。这里有一个经验如果日志文件已经被logrotate轮转比如文件名是app.log.1这个文件可能还是文本格式更老的可能是app.log.2.gz这样的压缩包。对于.gz文件不能直接head因为读出来是一堆压缩乱码。正确姿势是先用zcat解压再交给headzcat app.log.2.gz | head -n 20注意这种写法会把整个压缩文件解压并通过管道传输head只取前20行实际消耗在解压上的时间通常也不会太久因为数据不需要全部写出。但如果是超大压缩文件且解压本身耗时也可以先用zgrep直接搜索关键内容不必先head。自己心里要有数zcat相当于解压head再截断整个过程是流式的不是把整个解压结果落到磁盘上再处理。3.2 用head截取CSV样例并保留表头做数据分析或数据迁移时经常需要从一个大CSV文件里抽出一小段样例来测试流程。很多人的第一反应是直接head -n 1000 data.csv sample.csv。这样确实能得到前1000行但如果CSV有表头且你只想保留前999行数据加表头这个方法就不够灵巧。最简单的方式其实是多取一行head -n 1001 data.csv sample.csv如果你要的是“前1000条数据表头”那总共就是1001行。如果文件尾部有汇总行比如最后一行的合计那还需要小心不过多数CSV没有汇总行。另一种更精细的做法是组合head和tailhead -n 1001 data.csv | tail -n 1000 sample.csv先从大文件取前1001行再从中取最后1000行。如果第一行是表头这1000行就包含表头和999条数据如果你想去掉表头可以用tail -n 2再处理。这里的关键是理解head和tail都支持把管道数据当作输入形成“切片”。如果需要同时把表头单独存成一个文件可以这样head -n 1 data.csv header.csv head -n 1001 data.csv | tail -n 1000 body.csv这样表头和数据文件都拿到了后续用pandas或awk处理都方便。实际写脚本时我习惯先验证行数wc -l sample.csv确认一下没有把表头弄丢也没有把文件尾部的空行带进来。3.3 head与管道、grep、curl的复合用法head最常见的搭档是管道。任何命令只要输出到标准输出都可以用head截断开头的若干行。最常见的例子是psps aux | head -n 6这会显示标题行加前5个进程。如果你只关心CPU占用最高的几个进程可以配合sortps aux --sort-%cpu | head -n 6注意这里head截断的是sort排序后的前几行逻辑顺序是先排序再取头不是先取头再排序。这个顺序一旦搞反结果就完全不一样了。再看一个网络接口的例子。调试HTTP接口时如果不想下载完整响应只想看前几行可以curl -s http://example.com/api/data | head -n 10curl会持续读取响应但只要head取够了10行并退出curl在继续写输出时就会收到SIGPIPE信号而停止。这样既能看到响应开头又不会把整个响应都拉下来。在目标接口返回内容非常大的时候这个用法能省很多时间和带宽。还有一个很实用的场景grep配合head控制匹配结果数量。比如你要在日志里找最近的报错但不希望一次输出几百条grep -m 5 ERROR app.log | head -n 5grep -m 5本身已经限定最多匹配5行head在这里相当于双保险。如果你不写-mgrep会扫完整个文件再输出head虽然尽早退出但grep仍可能继续扫描所以配合-m从源头控制更高效。再比如用awk处理文本后取头部awk -F: {print $1, $3} /etc/passwd | head -n 5这条命令先提取用户名和UID两列再只显示前5行样例非常清晰。想查看系统启动日志时也可以直接dmesg | head -n 20只看内核开机阶段最早输出的那部分信息。总之head就像是一个“水龙头”把上游想让你看到的输出控制在你指定的行数内。3.4 批量多文件取头head file*.log运维脚本里经常要快速浏览一批同类文件的开头。比如有多个应用节点的日志你想看看它们的启动配置是否一致head -n 5 /var/log/app/node*.loghead会依次处理每个文件并在每个文件内容之前加上文件名提示输出类似 /var/log/app/node1.log ... /var/log/app/node2.log ...这个文件名提示非常方便但如果你想把所有头部内容合并后再做下一步处理需要去掉提示用-q参数head -q -n 5 /var/log/app/node*.log | grep port这样就只会输出匹配到port的行不会带着文件名杂乱信息。实际上在巡检脚本里我经常用这个组合来检查一批配置文件的关键参数是否存在比用编辑器一个个打开效率高得多。还有一个小技巧当文件很多时head的默认输出会很长你可以在外层再加一个head来限制总行数head -n 20 /var/log/app/node*.log | head -n 20内层head是每个文件取20行外层head再对合并结果取前20行适合只扫一眼。如果你要写更严谨的巡检脚本可能还要配合循环、判断返回值但至少从“人工快速确认”的角度这套组合已经够用了。4. 常见问题与避坑记录4.1 大文件读取为什么快关于管道SIGPIPE这是面试里经常被追问的点为什么head读取大文件很快因为head是流式读取读够需要的行数后立即关闭输入并退出不会傻傻地把整个文件读完。比如head -n 1一个10GB的文件它只会读取到第一个换行符就结束了实际读入的数据可能只有几十字节。这个特性让head在处理超大文件时性能极好。但和管道一起用时这个“提前退出”会带来一个副作用管道上游的命令还在拼命写输出下游的head却关闭了管道上游再写时就会收到SIGPIPE信号默认动作是终止进程。我们刚才提到curl当服务端持续推送数据时curl会因为SIGPIPE而退出这是预期行为。但如果你在一个重要脚本里把head放在管道下游上游是一个需要完整收尾的程序那SIGPIPE可能会让上游中途退出产生意料之外的结果。举一个反例cat largefile | head -n 5这种写法很常见但我个人不太推荐。因为cat会从头到尾读取文件并写入管道而head只取5行后就关闭管道cat大概率会收到SIGPIPE退出。虽然结果一样但它白白读取了大量数据不如直接head -n 5 largefile。记住一个原则能用head直接读文件就不要cat再交给head。管道确实很强大但别为了打管道而打管道。4.2 从第N行到第M行head与tail联合虽然没有一个专门的命令叫middle但想取出文件中间的一段用head和tail组合很容易实现。假设要取文件的第100行到第200行head -n 200 file | tail -n 101为什么是101因为100到200一共是101行。head先取前200行tail再取其中的最后101行也就是第100到第200行。这里最容易算错的就是行数差一。如果你写tail -n 100会少一行。我建议每次写这类命令前先数一遍end-start1。更灵活的方案是用sedsed -n 100,200p filesed直接指定行号区间可读性更好也避免了组合命令的偏移计算。但在面试时面试官想考察的往往是你是否理解head和tail的组合逻辑所以这两种方案你都要会。还有一个衍生场景取第10行之后的全部内容。可以用tail -n 10表示从第10行开始到末尾也可以用sed -n 10,$p。但head做不到“从第10行开始”它只能从头取。理解这个边界才能在不同需求里选对命令。4.3 碰到乱码与二进制内容怎么处理用head查看文本文件偶尔会出现乱码。最常见的原因是文件编码和终端设置的字符集不匹配。比如文件是GBK编码而终端是UTF-8直接head出来就是一堆乱码。此时并不需要换命令先确认编码再转换file -i filenamefile命令会告诉你文件的字符编码再用iconv转一下iconv -f GBK -t UTF-8 filename | head -n 20如果是二进制文件head -n按行读取会把二进制内容按文本处理终端可能显示各种奇怪字符。这时你应该改用head -c取若干字节再用xxd或od转成十六进制head -c 16 file.bin | xxd这个组合可以快速查看文件的magic number。比如一个PNG文件的前8个字节通常固定为89 50 4E 47 0D 0A 1A 0A你用xxd一看便知。遇到不知道类型的文件file命令本身也会读取文件头来判断原理类似。这个技巧在处理二进制协议、解析未知文件时很实用。4.4 Linux面试里head的高频考点把我在面试和笔试里见过的head相关题目按频率排个序第一head默认显示几行答案是10行。很多人会回答5行因为误把默认行数和-n 5记串了。第二-n和-c的区别-n按行-c按字节。如果面试官追问问到UTF-8中文字符截断问题能答出来会很加分。第三如何用head和tail取文件的中间某一段核心是end-start1这个偏移计算。第四head在管道中是如何影响上游进程的能答出SIGPIPE说明你有实际运维经验。第五遍历多个文件时如何抑制文件名提示使用-q对应地强制打印用-v。第六head -5和head -n 5有什么区别旧式语法GNU里等价但新脚本建议使用-n 5。这些问题覆盖面不大但每一个都对应一个具体的踩坑点。把这些记牢面试时被问到head就没问题了。其实面试官问这些并不是为了难为人而是想确认你到底有没有在真实环境里操作过而不是只背过命令手册。最后分享一点个人感受。我处理问题有一个习惯拿到一个陌生的日志文件不是先搜错误而是先head三五行看看这个文件是不是我想象中的那个文件。很多线上事故其实是“看错日志”引起的比如看了旧轮转文件、看了另一个应用的日志导致排查方向完全跑偏。head可以帮助你在第一时间确认文件身份开头打印的往往是进程名、日期、版本一眼就知道有没有看错。这个习惯救过我很多次希望你也能养成。至于head还有什么高级玩法其实你掌握这些之后剩下的就是在真实需求里自然生长了。