看文档还是看源代码+调试附带rsyslog的例子

看源代码要比看文档高效多了。文档是用自然语言写的&＃xff0c;比如英语&＃xff0c;日语&＃xff0c;中文等等&＃xff0c;文化的差异以及各种语法的不同使得文档理解起来很不方便&＃xff0c;再说很多人根本就没有外语阅读的能力。自然语言还是相对比较复杂的&＃xff0c;可是编程语言就简单多了&＃xff0c;语法很简单&＃xff0c;当前即使最高级的编程语言也还没有进化(如果它真的能进化的话)到足够复杂以至于必须学习额外的“文化”才能理解的地步&＃xff0c;所有的编程语言都是简单的&＃xff0c;因此用编程语言写就的源代码看起来就比理论文档易懂地多&＃xff0c;前提是你要学习一些编程语言的语法哦&＃xff01;
经常听人说能看懂内核的人都是高手&＃xff0c;其实并不是这样&＃xff0c;看懂内核源码要比看懂一部历史著作容易多了&＃xff0c;它都是流程化的&＃xff0c;没有什么让你思考的东西&＃xff0c;当然我指的仅仅是看懂而已&＃xff0c;高手并不是看懂&＃xff0c;而是彻底理解为何这么设计&＃xff0c;归根结底还是人的思维在起作用&＃xff0c;是设计者天才的大脑在起作用&＃xff0c;背后是什么&＃xff1f;背后还是文化&＃xff0c;而文化的终极体现就是语言文字&＃xff0c;自然语言文字&＃xff0c;可以看出自然语言比编程语言高多少等级了吧。
很多人都认为源代码这种东西很难看懂&＃xff0c;其实你只需要花顶多一个礼拜时间学点对应编程语言的语法&＃xff0c;那么看懂局部就不成问题了&＃xff0c;如果你再花一个礼拜学点操作上的知识&＃xff0c;比如编译命令&＃xff0c;调试步骤&＃xff0c;在完全不理解这些原理的情况下你就可以看懂几乎全部代码了&＃xff0c;所谓的难不在于代码本身难以理解&＃xff0c;而是代码背后的设计难以理解&＃xff0c;看linux内核源码很快&＃xff0c;但是学习操作系统设计理论却很难&＃xff0c;后者可能是用自然语言写成的一厚本书&＃xff0c;可能混杂一些数学语言&＃xff0c;可能没有一句编程语言&＃xff0c;可能你要学十年--还不一定学的怎样&＃xff01;我们花了从不到1岁到x岁这么长的时间来学习说话&＃xff0c;阅读和写作&＃xff0c;我们现在拿起一篇文档肯定会说它比源代码简单&＃xff0c;实际上可能我们根本没有花一分钟在编程语言的语法学习上。
以一个例子结束本文。第一次使用rsyslogd的人可能都会遇到一个问题&＃xff0c;那就是在快速记录日志的情况下&＃xff0c;日志会丢失&＃xff0c;也就是记录不完全&＃xff0c;这是怎么回事呢&＃xff1f;第一步当然是用ps找出rsyslogd对应的进程号&＃xff0c;然后使用lsof确认它打开了/dev/log这个本地套接字&＃xff0c;然后使用strace看看它此时在干什么&＃xff0c;注意加上-F -f参数以防它派生子进程...或者使用rsyslog -d(debug)重新运行rsyslog&＃xff0c;此时使用loger命令快速写几条日志(摘自《Linux Security Cookbook》9.28)&＃xff1a;
#!/bin/sh
PROG&＃61;&＃96;basename "$0"&＃96;
FACILITIES&＃61;&＃39;auth authpriv cron daemon ftp kern lpr mail news syslog user uucp
local0 local1 local2 local3 local4 local5 local6 local7&＃39;
PRIORITIES&＃61;&＃39;emerg alert crit err warning notice info debug&＃39;
for f in $FACILITIES
do
for p in $PRIORITIES
do
logger -p $f.$p "$PROG[$$]: testing $f.$p"
done
done
只要strace输出一个rsyslog的信息或者rsyslog -d输出一个信息&＃xff0c;此时就在rsyslog源代码中顺着找下去&＃xff0c;然后的做法有好几种&＃xff0c;可以打印调试&＃xff0c;也可以gdb断点调试...也可以只看代码先不调试--在打印debug信息附近寻找蛛丝马迹&＃xff0c;终于发现了下面的逻辑&＃xff0c;在action.c的actionWriteToAction中&＃xff1a;
if(pAction->iSecsExecOnceInterval > 0 && pAction->iSecsExecOnceInterval &＃43; pAction->tLastExec > getActNow(pAction)) {
DBGPRINTF("action not yet ready again to be executed, onceInterval %d, tCurr %d, tNext %d\n",
(int) pAction->iSecsExecOnceInterval, (int) getActNow(pAction),
(int) (pAction->iSecsExecOnceInterval &＃43; pAction->tLastExec));
pAction->tLastExec &＃61; getActNow(pAction); /* re-init time flags */
FINALIZE;
}
pAction->tLastExec &＃61; getActNow(pAction); /* re-init time flags */
pAction->f_time &＃61; pAction->f_pMsg->ttGenTime;
什么也不用说了&＃xff0c;就是它引起的了&＃xff0c;那么此时我们看一下iSecsExecOnceInterval这个值是什么时候被给上值的&＃xff0c;发现是iActExecOnceInterval赋值给iSecsExecOnceInterval的&＃xff0c;进一步发现iActExecOnceInterval是一个配置参数&＃xff1a;
CHKiRet(regCfSysLineHdlr((uchar *)"actionexeconlyonceeveryinterval", 0, eCmdHdlrInt, NULL, &iActExecOnceInterval, NULL));
于是我们只需要在配置文件rsyslog.conf中增加一行&＃xff1a;$ActionExecOnlyOnceEveryInterval 0
就可以了&＃xff0c;最后确认一下就是这样。这件事从发现这个问题算起到解决不到5分钟&＃xff0c;如果看文档的话&＃xff0c;我想5分钟是解决不了的&＃xff0c;文件毕竟是人看的&＃xff0c;学习用的&＃xff0c;出了问题最好的解决办法就是调试&＃43;看源码&＃xff0c;看不了源码的看堆栈&＃xff0c;看字符串...总之要用计算机的方式去解决之&＃xff0c;要知道&＃xff0c;机器的问题要比人的问题更简单。