在 macOS 系统中，了解谁在什么时候登录了你的电脑，以及登录会话的持续时间，对于系统管理和安全审计都至关重要。last 命令就是这样一个强大且易于使用的工具，它能帮助你轻松查看系统的历史登录记录。

本文将详细介绍 last 命令的基本用法、输出格式解析以及一些常用选项，帮助你更好地利用这个命令行工具。

什么是 last 命令？

last 命令用于显示用户和终端的登录/注销历史记录。它通过读取系统中的一个特殊日志文件 (/var/log/wtmp) 来获取这些信息。这个日志文件记录了系统启动、关机、用户登录和注销等事件。

通过 last 命令，你可以查看到以下关键信息：

  • 哪些用户登录过系统。
  • 用户从哪个终端（或IP地址/主机名）登录。
  • 登录的起始时间。
  • 会话的持续时间，或者何时注销。
  • 系统重启（reboot）或关机（down）的历史。

last 命令的基础用法

1. 直接执行 last 命令

在终端中直接输入 last 并按回车，你会看到一个按时间倒序排列的登录历史列表：

last

示例输出：

username   ttys000                   Mon Jul 29 09:45   still logged in
username   console                   Mon Jul 29 08:30   - 09:40  (01:10)
reboot     ~                         Mon Jul 29 08:29   - 09:45  (01:15)
username   ttys001                   Sun Jul 28 15:00   - 15:30  (00:30)
... (更多历史记录)

2. 理解 last 命令的输出

last 命令的每一行输出都包含了多个字段，它们提供了关于登录事件的详细信息：

  • 第一列（用户名）：显示登录会话的用户名称。如果是 reboot，则表示系统重启。
  • 第二列（终端/TTY）：显示用户登录所使用的终端类型。
    • console：表示通过物理控制台直接登录。
    • ttys000, ttys001 等：表示通过终端模拟器（如 Terminal.app）创建的伪终端会话。
    • ssh 或类似的名称：表示通过 SSH 远程登录。
  • 第三列（登录来源）：显示用户登录的来源 IP 地址或主机名。如果是本地登录，此列可能为空或显示如 ~ 等符号。
  • 第四列（登录时间）：显示用户登录的日期和时间。
  • 第五列（登出时间或状态）：显示用户登出的日期和时间。如果用户仍在登录中，则显示 still logged in。如果是系统事件，如 down 表示关机，reboot 表示重启。
  • 第六列（会话持续时间）：用括号 () 包裹，显示登录会话的持续时间，格式为 小时:分钟。如果用户仍在登录，此列则显示自登录以来的持续时间。

last 命令的常用选项

last 命令支持多种选项，可以帮助你筛选和定制输出，以获取更精确的信息。

1. -n <数字>：显示最近的 N 条记录

如果你只对最近的登录活动感兴趣，可以使用 -n 选项来限制输出的行数。

last -n 5

这会显示最近的 5 条登录或系统事件记录。

2. last <用户名>：查询特定用户的登录历史

要查看某个特定用户的登录活动，只需在 last 命令后面加上该用户的用户名。

last your_username

例如，要查看名为 john 的用户的登录记录：

last john

3. last <终端名>：查询特定终端的登录历史

你也可以指定特定的终端名称来查看其登录历史，例如 console 或 ttys000。

last console

这将显示所有通过物理控制台进行的登录记录。

4. last reboot：查看系统重启历史

last 命令不仅记录用户登录，也记录系统重启事件。使用 last reboot 可以清晰地看到系统所有的重启时间。

last reboot

这个命令对于排查系统不稳定或意外重启的原因非常有用。

5. -F：显示完整的登录和登出时间

默认情况下，last 命令的登录/登出时间可能不包含秒数。使用 -F 选项可以显示完整的日期和时间，包括精确到秒。

last -F

这在需要精确时间戳的场景（如安全审计）中非常有用。

last 命令的实用价值

last 命令不仅仅是一个查看历史记录的工具，它在实际应用中具有多种实用价值：

  • 安全审计：定期检查 last 命令的输出，可以帮助你发现是否有未经授权的登录尝试。如果看到陌生的用户名、异常的登录IP地址或在你不在时段的登录记录，这可能表明存在安全风险。
  • 故障排查：当系统出现问题或意外重启时，last reboot 可以帮助你迅速定位重启发生的时间点，结合系统日志（如 log stream 或 Console.app）可以进一步分析重启原因。
  • 使用习惯分析：通过分析登录频率和会话持续时间，可以大致了解自己或他人对系统的使用习惯。
  • 资源利用率评估：虽然不是直接指标，但登录时长可以间接反映用户对系统资源的占用情况。

注意事项

  • 数据来源：last 命令的数据来源于 /var/log/wtmp 文件。这个文件是一个二进制文件，不能直接用文本编辑器查看。
  • 文件大小限制：/var/log/wtmp 文件通常有大小限制或会定期进行循环日志（log rotation），因此它不会无限增长。这意味着 last 命令只能显示一定期限内的历史记录，旧的记录可能会被删除。
  • 与 who 和 w 命令的区别：
    • who 命令显示当前登录到系统的所有用户。
    • w 命令显示当前登录到系统的用户，以及他们正在执行的进程和资源使用情况。
    • last 命令则关注历史记录，显示过去的用户登录和系统事件。

结论

last 命令是 macOS 系统中一个简单而强大的工具，它提供了关于用户登录和系统事件的关键历史信息。无论是进行安全审计、故障排查，还是仅仅为了了解系统的使用情况，掌握 last 命令的用法都将大大提高你的系统管理效率。通过熟练运用其各项选项，你可以更精准地获取所需的信息。