快速开始

先完成一次离线回放，确认“记录 → 规则 → 脱敏事件 → 本地文件”的结果，再接入真实应用。离线回放不会证明网卡或 TLS 探针可用。

还没有安装 CLI？

先从版本下载获取完整包，按安装与升级安装，再运行首次安装向导。已有配置、需要接入真实应用？直接进入接入工作流。

准备环境

使用已安装的 Linux NetFlowScout CLI；安装方法见安装与升级。本例不需要 root。请在新的工作目录中操作，避免与在线服务共用 WAL 或输出文件。

netflowscout version
mkdir -p nfs-demo/examples
cd nfs-demo

下载以下三个文件，保存到刚创建的 examples/：

• netflowscout.json：使用安装后的插件目录，关闭 Dataway，输出到 ../var/。
• rules.nfs：HTTP 错误、数据库错误率和分析异常规则。
• observations.ndjson：三条虚构 HTTP 观察记录。

也可在刚创建的 nfs-demo 目录直接下载。以下仅获取数据和配置，不执行远程脚本：

curl -fSL https://netflowscout.pages.dev/examples/netflowscout.json -o examples/netflowscout.json
curl -fSL https://netflowscout.pages.dev/examples/rules.nfs -o examples/rules.nfs
curl -fSL https://netflowscout.pages.dev/examples/observations.ndjson -o examples/observations.ndjson

配置内的相对路径按配置文件所在目录解析，不按终端当前目录解析。

校验并执行

netflowscout check --config examples/netflowscout.json
netflowscout replay --config examples/netflowscout.json \
  --input examples/observations.ndjson
cat var/events.ndjson

首次在全新目录执行，预期得到两条 http.server_error 事件：第二条输入被同服务的 10 秒冷却抑制。事件中的响应内容为 [REDACTED]，包含稳定的 event_id、规则身份及时间。

检查 var/events.ndjson：应有两行 JSON，事件名均为 http.server_error，两条 event_id 不同。没有结果时，先检查三份样本是否放在同一 examples/ 中，再执行 check 并阅读具体错误。若提示插件不存在，请核对完整候选包是否已安装，以及配置中的插件路径。

重复回放会追加新的事件及 ID。该操作不是输入去重：稳定 ID 用于同一已提交事件的投递重试。

不投递地试跑规则

netflowscout rules test --config examples/netflowscout.json \
  --input examples/observations.ndjson --format ndjson --preview 10

试跑显示编译摘要、原因计数和脱敏预览，不创建持久队列，也不调用输出端。修改规则后可用 --compare-rules ./candidate.nfs 对比候选版本。

接入真实流量

按需求选择网络采集或端点 TLS 明文，然后使用接入验证核对完整业务与投递结果。只看到进程运行或事件队列为空，不能证明端到端链路通过。