`last` 是Linux系统内置的命令行工具，用于显示系统中用户登录和登出的历史记录。以下是关于该命令的详细说明：

一、核心功能

显示登录记录

列出自系统启动以来的所有用户登录和登出记录，包括用户名、登录时间、IP地址、登录终端等信息。

时间范围筛选

通过参数 `-n NUM` 可指定显示最近 N 条记录，例如 `last -n 5` 显示最近5条记录。

用户特定记录

使用 `-u 用户名` 可查看指定用户的登录记录。

二、默认行为

默认显示所有用户记录

执行 `last` 命令时，默认会列出系统中所有用户的登录历史，按时间倒序排列。

日志文件来源

主要读取 `/var/log/wtmp` 文件（普通用户）或 `/var/log/btmp`（仅限root用户）中的登录记录。

三、扩展功能

显示注销记录

添加参数 `-d` 可显示登出记录。

显示特定终端的登录

通过终端标识符（如 `pts/0`）筛选登录记录。

四、示例用法

基础查询

```bash

last

```

显示所有用户登录记录。

筛选最近登录用户

```bash

last -n 3

```

显示最近3条登录记录。

查看特定用户登录

```bash

last -u username

```

显示指定用户的登录记录。

五、注意事项

权限要求：

普通用户可查看所有记录，但管理登录活动通常需超级用户权限。

日志文件权限：默认情况下，`/var/log/wtmp` 和 `/var/log/btmp` 的权限为640，确保只有授权用户可读。

通过以上功能，`last` 命令为系统管理员提供了便捷的用户活动审计手段，同时也有助于排查安全问题。