如何获取文件增量更新的内容？

能想到的几个方案，就看权限和实现难度了：
1 、hook fs 相关 api ；
2 、设置一个“假文件”，所有写入操作都经过你“管道”处理，截留；
3 、不断地检测、复制并 diff 日志文件，如果文件很大则速度极慢；
4 、魔改 fs 源码。

考虑变个思路？ git diff ？

日志文件会滚动难道你的意思是设置一万行，超过就删掉一行写入一行这样？文件系统也没有这种操作的 api 吧，除非重写整个文件，那你这个日志就已经拖死整个系统了吧，一般来说滚动的意思是重命名当前文件创建一个新文件吧，那么你在监听修改的文件描述符还是原来的那个文件，并不会受重命名影响，你仍然可以用行数来判断是否重命名了文件，是否需要重新打开日志文件啊

tail -f ？

@bfdh 是个好办法？不过 tail -f 这东西是怎么实现的。。它自己能获取到内核的流信息？

lseek(fd, 0, SEEK_CUR) 不太确定能不能行