从安装到事件调查

将安装、采集目标、检测策略和事件调查连成一条可验证的流程。管理仍在本机 CLI/TUI 中完成。

完成首次接入

初始化问题支持 :back；保存摘要选 edit 返回身份、采集或输出。路径输入 pick 浏览进程，或用 pid:123、unit:app.service；生成 executable/UID/cgroup 范围，可跨进程重启匹配，不读取参数与环境。网卡显示状态、MTU 和地址。保存前仍需确认。

sudo netflowscout setup --lang zh --config /etc/netflowscout/netflowscout.json \
  --endpoint-config /etc/netflowscout/endpoints/app.json

默认目录的交互 init 保存后也可选择继续。向导校验、展示预检、确认启动匹配的 systemd 单元，再等待覆盖、真实请求和逐输出确认；可确认开启仅元数据的有界观测，修改会备份并重启。它不自动 enable 开机启动，不生成真实业务请求。未验证的阶段保持 not_verified；HTTP 接受不代表后端可检索。

创建检测策略

netflowscout strategy create --lang zh --config CONFIG --out ./url.nfs
netflowscout strategy create --config CONFIG --out ./url.nfs --id checkout_url \
  --service checkout --path /checkout --match prefix --method POST \
  --status 500 --event checkout.failure --severity warning --input sample.ndjson

模板支持 HTTP 路径、数据库错误、DNS 错误，附加服务与最小耗时条件。HTTP 可 exact/prefix/RE2 regex、方法、三位状态字符串；默认排除不完整和截断记录。生成正式 DSL、类型检查，可回放 ndjson/pcap/stream 脱敏预览，不投递。CLI 只创建新的 0600 文件；加入 rules、配置读权限并重载后才生效。TUI 第 3 页 创建检测策略 追加到选定文件，整套校验、差异确认、备份、激活并核对运行版本；取消返回表单。复杂窗口继续使用规则语言。

管理应用与策略

TUI 第 2 页可浏览并选择运行应用，第 8 页可新增、复制、删除策略和预览匹配；单 match 转为 default 策略保留旧范围。复制生成唯一 ID，仍需调整匹配或优先级；当前目标有同优先级冲突会拒绝激活。不能删除最后一个范围，可停止其 discovery 单元。预览只检查当前进程，不挂载。最多 64 条策略。

解释没有事件

sudo netflowscout explain --lang zh --config CONFIG --endpoint-config TARGET \
  --service checkout --rule checkout_url --input sample.ndjson

按覆盖、丢失、最近业务观测、规则、队列和输出给出证据与下一操作。在线观测只保留最近 256 条元数据，没有逐请求条件值；未知保持 not_verified。回放才提供过滤、窗口、冷却和迟到 trace，报告完整规则集。累计丢失不能定位单个请求。TUI x 排障，结果 f 打开建议页；概览 f 打开目标。

追溯分析事件

netflowscout events --config CONFIG --service checkout --rule checkout_url \
  --since 2026-10-18T00:00:00Z --limit 100
netflowscout events --config CONFIG --id EVENT_ID

支持服务、规则、事件名、级别、协议、ID、连接和包含边界的 RFC3339 时间。TUI / 使用 service=checkout rule=checkout_url since=...，带空格的值用 CLI。当前和轮转文件每段读尾部 8 MiB、总计 64 MiB、最多 1,000 个匹配项；先筛选，按追加新旧排序。显示读取量和边界，不是完整历史索引；并发轮转为尽力快照。

仅展示进程、连接、规则版本、时间等元数据，省略 message/fields。投递查询读取运行服务的 WAL 回执；未知/过期为 unconfirmed，最多保留 8,192 条，关闭业务观测仍可查询。追溯规则对比当前版本，不能还原历史源文。原始证据继续使用留存操作。

界面语言与权限

tui --lang zh|en，L 切换；默认读取 LC_ALL、LC_MESSAGES、LANG。页面、动作、表单说明和帮助本地化；字段/操作 ID、审计、JSON、底层诊断和用户内容保留原文。--control、OS 权限、确认及备份恢复沿用原约束。详见TUI与验证边界。

连续任务：从应用到事件

对应界面见管理 TUI 截图。

TUI n 开始或继续应用 → 策略 → 事件，C 清除会话上下文。应用列表可用 / 搜索，上下选择，Enter 选中；多个管理器时先选管理器。沿用同一管理器、同一进程代际的归因，未知则使用可修改的配置默认值，无需抄写 PID。采集范围变化继续要求控制权限、预览和确认。

策略模板基础表单仅 2–3 项，自动带入服务并生成 ID，事件名默认与 ID 相同。Ctrl+O 展开高级条件和回放，Ctrl+T 切换模板，左右选择枚举值；数据库/DNS 不显示 HTTP 字段，也不会携带隐藏的 HTTP 条件。空服务匹配全部服务，预览会提醒。

激活后 n 查看当前服务/规则事件，带空格的服务名也支持；旧快照与全局告警不能混入该范围。事件 Enter 显示“发生了什么、为什么有事件、送到了哪里”，d 切换技术详情，x 排障、c 规则、o 证据、r 刷新确认。排障自动携带服务与规则。当前规则不同或历史值缺失时不猜测触发原因；条件字符串常量与请求内容不进入说明。

只读查询直接执行；更改、合成验证、诊断归档导出仍需确认。上下文仅保留于当前会话。