命令行参考

使用 netflowscout COMMAND --help 查看当前二进制的参数。以下是用户工作流入口，不替代与版本绑定的 help 输出。

部署和诊断

命令	用途
version / support	程序版本、执行映像摘要 / 支持矩阵
init --lang zh	首次安装交互向导：选择采集和输出、校验后确认保存
setup --lang zh	引导预检、确认启动及真实业务验收
applications	运行应用与 systemd 列表，不读取参数和环境
strategy create	生成并校验检测 DSL、可选回放、只保存新文件
explain	分阶段证据、无事件排障与下一操作
events	有界轮转历史筛选与逐事件投递确认
configure	生成新主配置、端点配置和内置规则，不覆盖
check --config FILE	校验完整配置、Wasm、schema、规则和业务设置
doctor --config FILE	权限、接口、目录、凭据变量及可选端点预检
status --component all	主服务、分析器、所选端点统一状态
onboard	等待所选范围就绪，可加模拟/真实验证
verify	模拟管线或命令后新业务及可选事件确认
diagnose --out FILE	创建去原文的私有诊断归档
tui	默认只读的终端管理；--control 开启确认操作

端点范围使用 --endpoint-config FILE 或 --endpoint-dir DIR。status 默认报告，--require-ready 在不就绪时非零退出；零目标不证明业务。示例见验证接入。

运行和回放

netflowscout run --config netflowscout.json
netflowscout analyze --config netflowscout.json
netflowscout endpoint --config endpoint.json
netflowscout replay --config netflowscout.json --input observations.ndjson
netflowscout stream-replay --stream /run/netflowscout/streams.sock --input stream.pb

run、analyze、endpoint 是不同进程，生产通常由 systemd 启动。NDJSON replay 直接输入观察记录；stream-replay 向正在运行的分析器发送帧。PCAP 分析使用 analyze --pcap traffic.pcap，配套规则进程使用 run --replay-clock 及独立 WAL，来源设为 network，不混入在线管线。

原始证据管理

netflowscout recording list --config CONFIG --event-id EVENT_ID
netflowscout recording export --config CONFIG --event-id EVENT_ID --out NEW_DIRECTORY
netflowscout recording replay --config CONFIG --event-id EVENT_ID
netflowscout recording pin --config CONFIG --id CAPTURE_ID --for 168h
netflowscout recording unpin --config CONFIG --id CAPTURE_ID

按事件或采集片段查询、导出、脱敏试跑和限时保护；详细选择器、保留期及边界见留存指南。

规则和插件

netflowscout rules test --config CONFIG --input FILE --format ndjson
netflowscout plugin list --config CONFIG
netflowscout plugin info --config CONFIG
netflowscout plugin verify --config CONFIG --directory PACKAGE
netflowscout plugin test --config CONFIG --input FILE --format stream --expect golden.ndjson

rules test 支持 ndjson/pcap/stream，可加 compare-rules；plugin test 支持实际解析回放。二者不向外投递。创建、安装和回退见插件开发。

升级与离线队列导入

sudo netflowscout upgrade --package PACKAGE
sudo netflowscout rollback
netflowscout queue import --path NEW_WAL --input EXPORT --sinks file,dataway

queue import 用于已验证的离线 NDJSON 导出迁移，目标必须不存在；不是运行中搬迁 WAL 的命令。旧 SQLite 迁移需要停服务、备份及专用导出工具，不能把旧数据库路径直接改成 WAL 文件名。