3、Logcat 核心原理：日志系统在 Android 框架层是如何工作的？
好，我们直接切入正题。上一章我们聊了怎么用 Logcat，但说实话，光会用还不够。你想想看，每次敲 logcat 命令，背后到底发生了什么？日志是怎么从你的 App 一路跑到终端里的？
我个人习惯是，搞懂原理再动手，心里才踏实。这一章，我们就来扒一扒 Android 日志系统的“骨架”——它在框架层到底是怎么工作的。
3.1 日志系统的“三驾马车”
Android 的日志系统，说白了就是三个核心组件在协作。我把它叫做“三驾马车”：
- Logger 驱动（内核层）—— 真正的“仓库”，日志存在这里
- liblog（Native 层）—— 日志的“搬运工”，负责写入和读取
- Logd 守护进程（系统服务层）—— 日志的“调度中心”，管理权限和分发
这三者缺一不可。我记得刚接触 Android 源码时，以为日志就是写个文件那么简单。后来追了一次线上 bug，才发现事情没那么简单。
核心观点：日志不是直接写文件的，而是通过共享内存 + Socket 的方式，在内核和用户态之间传递。这样做的好处是——快，非常快。
3.2 日志的“出生”与“流转”
我们写一行 Log.d("TAG", "hello")，它经历了什么？
来，我画了一张图，你看完就明白了。
嗯，这张图基本把流程说清楚了。我来拆解一下：
- App 调用 Log.d() —— 这其实是个 JNI 调用，底层会走到 liblog 的
__android_log_write()函数。 - liblog 写入日志 —— liblog 会把日志通过 Socket 发给 logd 守护进程。
- logd 接收并存储 —— logd 把日志写入内核的 Logger 驱动，同时维护一个环形缓冲区。
- logcat 读取 —— 当你执行
adb logcat时，logcat 客户端通过 Socket 向 logd 请求日志，logd 从缓冲区取出并推送。
小提示：你可能会问，为什么不直接写文件？因为写文件有 IO 开销，在高频日志场景下会严重影响性能。用共享内存 + Socket 的方式，延迟可以控制在微秒级。
3.3 日志缓冲区：环形队列的秘密
Android 的日志缓冲区是环形队列（ring buffer）实现的。说白了，就是一个固定大小的数组，写满了就从头覆盖。
每个日志缓冲区的大小是固定的，不同版本可能不一样。我整理了一张表：
| 缓冲区名称 | 默认大小（Android 10+） | 用途 |
|---|---|---|
| main | 256KB | 普通应用日志 |
| system | 256KB | 系统组件日志 |
| events | 256KB | 事件日志（二进制格式） |
| crash | 256KB | 崩溃日志 |
| kernel | 128KB | 内核日志（dmesg） |
我曾经在项目中遇到过一个问题：某个 App 疯狂打日志，导致 main 缓冲区被占满，系统日志反而看不到了。后来我加了一个 logcat -b system 才定位到问题。
注意：环形缓冲区意味着——如果你不及时读取，旧的日志会被新的覆盖。线上问题排查时，如果日志量太大，建议用 logcat -G 2M 临时扩大缓冲区。
3.4 logd 守护进程：日志的“交警”
logd 是整个日志系统的核心。它负责：
- 接收日志：监听 Socket，接收来自 liblog 的写入请求
- 权限控制：只有有权限的进程才能读取某些缓冲区（比如 system 日志需要系统权限）
- 日志分发：当有客户端连接时，把日志推送给它们
- 日志压缩：在 Android 10 之后，logd 还支持日志压缩，减少内存占用
你想想看，如果每个 App 都能直接读系统日志，那安全就崩了。logd 在这里起到了“交警”的作用，谁该看什么，它说了算。
3.5 日志的格式：不仅仅是文本
我们平时看到的日志是这样的：
03-15 10:23:45.678 1234 5678 D TAG: hello world但它在内核里存储的格式，其实是一个结构体：
struct log_entry {
uint16_t len; // 日志总长度
uint16_t hdr_size; // 头部大小
int32_t pid; // 进程 ID
int32_t tid; // 线程 ID
int32_t sec; // 时间戳（秒）
int32_t nsec; // 时间戳（纳秒）
char msg[]; // 日志内容（可变长）
};嗯，这里要注意：msg 字段里包含了优先级、Tag 和实际内容，用 \0 分隔。所以解析的时候要小心，别把分隔符当成内容了。
3.6 避坑指南：我踩过的几个坑
讲到这里，我分享几个实战中遇到的坑，希望能帮你少走弯路：
- 日志丢失：我曾经在调试一个 ANR 问题时，发现关键日志没了。后来发现是缓冲区太小，被其他日志覆盖了。解决方案：用
logcat -G 4M扩大缓冲区，或者用logcat -b crash只看崩溃日志。 - 权限不足：有一次我想看 system 日志，结果
logcat报错Permission denied。后来发现是用户态 App 没有系统权限。解决方案：用 adb root 或者把 App 放到系统分区。 - 日志时间不准：设备休眠后，日志时间戳可能不准确。这是因为内核时间戳用的是 jiffies，不是 wall clock。解决方案：用
logcat -v walltime显示墙上时间。
一句话总结：Android 日志系统是一个三层架构——App 调用 liblog，liblog 发给 logd，logd 写入内核缓冲区。读取时反过来，logd 从缓冲区取出，推送给 logcat 客户端。理解了这个流程，你就能更好地排查日志相关的问题。
好了，这一章就到这里。下一章我们会深入 logd 的源码，看看它到底是怎么管理日志缓冲区的。到时候我会带你看一段关键的 C++ 代码，保证让你豁然开朗。