Rust系统日志处理库utmp-classic使用指南

简介

utmp-classic 是一个用于解析和管理 Linux/Unix 用户登录记录的 Rust 库。它专门处理 /var/run/utmp 和 /var/log/wtmp 文件格式，这些文件记录了系统用户的登录、注销和其他状态变化信息。

主要功能

• 解析 utmp/wtmp 二进制文件格式
• 提供结构化的用户登录记录
• 支持多种记录类型（用户进程、登录进程、死进程等）
• 跨平台支持（Linux/Unix系统）

安装方法

在 Cargo.toml 中添加依赖：

[dependencies]
utmp-classic = "0.1"

基本使用方法

1. 读取 utmp/wtmp 文件

use std::fs::File;
use utmp_classic::{UtmpEntry, UtmpParser};

fn main() -> std::io::Result<()> {
    let file = File::open("/var/run/utmp")?;
    let parser = UtmpParser::new(file);
    
    for entry in parser {
        if let Ok(entry) = entry {
            println!("{:?}", entry);
        }
    }
    
    Ok(())
}

2. 解析单个记录

use utmp_classic::UtmpEntry;

fn print_entry(entry: &UtmpEntry) {
    println!("User: {}", entry.user());
    println!("Terminal: {}", entry.line());
    println!("Host: {}", entry.host());
    println!("Login time: {:?}", entry.time());
    println!("Process ID: {}", entry.pid());
    println!("Type: {:?}", entry.entry_type());
    println!();
}

3. 过滤特定类型的记录

use utmp_classic::{UtmpEntry, UtmpEntryType};

fn filter_user_processes(entries: Vec<UtmpEntry>) -> Vec<UtmpEntry> {
    entries.into_iter()
        .filter(|e| e.entry_type() == UtmpEntryType::UserProcess)
        .collect()
}

4. 获取当前登录用户

use utmp_classic::{UtmpEntry, UtmpEntryType};

fn get_logged_in_users() -> Vec<UtmpEntry> {
    let file = File::open("/var/run/utmp").unwrap();
    UtmpParser::new(file)
        .filter_map(Result::ok)
        .filter(|e| e.entry_type() == UtmpEntryType::UserProcess)
        .collect()
}

高级用法

1. 监控登录/注销事件

use std::{fs::File, thread, time::Duration};
use utmp_classic::{UtmpParser, UtmpEntryType};

fn monitor_logins() {
    let mut last_size = 0;
    
    loop {
        if let Ok(file) = File::open("/var/log/wtmp") {
            let current_size = file.metadata().unwrap().len();
            
            if current_size > last_size {
                let parser = UtmpParser::new(file);
                for entry in parser.skip(last_size as usize / std::mem::size_of::<UtmpEntry>()) {
                    if let Ok(entry) = entry {
                        match entry.entry_type() {
                            UtmpEntryType::UserProcess => println!("Login: {}", entry.user()),
                            UtmpEntryType::DeadProcess => println!("Logout: {}", entry.user()),
                            _ => {}
                        }
                    }
                }
                last_size = current_size;
            }
        }
        
        thread::sleep(Duration::from_secs(5));
    }
}

2. 生成登录统计报告

use std::collections::HashMap;
use utmp_classic::{UtmpParser, UtmpEntryType};

fn generate_login_stats() -> HashMap<String, usize> {
    let file = File::open("/var/log/wtmp").unwrap();
    let mut stats = HashMap::new();
    
    for entry in UtmpParser::new(file).filter_map(Result::ok) {
        if entry.entry_type() == UtmpEntryType::UserProcess {
            *stats.entry(entry.user().to_string()).or_insert(0) += 1;
        }
    }
    
    stats
}

注意事项

1. 读取 utmp/wtmp 文件通常需要 root 权限
2. 不同系统的 utmp/wtmp 文件位置可能有所不同
3. 文件格式在不同 Unix 变种中可能有细微差异
4. 处理大文件时注意内存使用

错误处理

建议对可能出现的错误进行适当处理：

use utmp_classic::{UtmpParser, ParseError};

fn safe_parse() -> Result<(), ParseError> {
    let file = File::open("/var/run/utmp").map_err(|e| ParseError::Io(e))?;
    let parser = UtmpParser::new(file);
    
    for entry in parser {
        let entry = entry?;
        // 处理记录
    }
    
    Ok(())
}

完整示例代码

下面是一个综合使用 utmp-classic 库的完整示例，展示如何读取登录记录并生成统计报告：

use std::{collections::HashMap, fs::File, io};
use utmp_classic::{UtmpEntry, UtmpEntryType, UtmpParser};

fn main() -> io::Result<()> {
    // 读取当前登录用户
    println!("当前登录用户:");
    let logged_in_users = get_logged_in_users()?;
    for user in &logged_in_users {
        println!("- {} 从 {} 登录，终端: {}", 
            user.user(), 
            user.host(),
            user.line()
        );
    }

    // 生成登录统计报告
    println!("\n登录统计:");
    let stats = generate_login_stats()?;
    for (user, count) in stats {
        println!("- {}: {} 次登录", user, count);
    }

    Ok(())
}

/// 获取当前登录用户
fn get_logged_in_users() -> io::Result<Vec<UtmpEntry>> {
    let file = File::open("/var/run/utmp")?;
    Ok(UtmpParser::new(file)
        .filter_map(Result::ok)
        .filter(|e| e.entry_type() == UtmpEntryType::UserProcess)
        .collect())
}

/// 生成登录统计报告
fn generate_login_stats() -> io::Result<HashMap<String, usize>> {
    let file = File::open("/var/log/wtmp")?;
    let mut stats = HashMap::new();
    
    for entry in UtmpParser::new(file).filter_map(Result::ok) {
        if entry.entry_type() == UtmpEntryType::UserProcess {
            *stats.entry(entry.user().to_string()).or_insert(0) += 1;
        }
    }
    
    Ok(stats)
}

这个完整示例展示了：

1. 读取当前登录用户信息
2. 显示每个登录用户的详细信息
3. 统计历史登录次数并生成报告
4. 包含了基本的错误处理

utmp-classic 库为 Rust 开发者提供了高效解析系统登录记录的能力，适合用于安全监控、用户行为分析和系统管理工具开发。