用Python做检测这件事，检测说穿了就是检测让代码替你的眼睛盯着某个东西。我头一回认真写检测脚本，检测是检测为了盯一个二手显卡的价格。那会儿我还不懂什么爬虫框架，检测就靠requests加BeautifulSoup，检测每十分钟抓一次页面，检测把价格塞进一个列表里。检测跑了一晚上，检测第二天醒来发现脚本崩了——网站改了个class名，检测我的检测解析全空。

那次教训让我明白，检测检测的检测核心不是“抓”，而是检测“判断”。你抓回来的检测东西可能是一堆乱码、一个登录页、或者干脆是超时后的空字符串。真正有用的检测逻辑，得先回答一个问题：什么算“正常”，什么算“异常”。

别急着上正则，先看看数据长什么样

很多人一上来就写正则表达式，觉得能匹配到东西就算成功。我见过一个同事检测服务器日志里的错误码，正则写了三行，跑起来倒是能匹配，但把“error_code=0”也捞进去了。原因很简单，他没先print几行原始数据看看格式。

我的习惯是：任何检测脚本，前二十行代码一定是把原始响应或文件内容原样输出。用repr()而不是print()，这样换行符、制表符、隐藏字符全都能看见。有一次我检测一个API返回，肉眼看着是JSON，repr一打出来发现开头有个\ufeff，BOM头。不处理这个，json.loads直接报错。

超时和重试不是可选项，是必选项

我写过一个检测内网服务存活的小工具，最初版本简单到可笑：requests.get(url, timeout=1)，然后看状态码是不是200。结果跑了两天，误报率大概百分之十五。原因有两个：一是内网某些服务响应慢，1秒不够；二是偶尔的网络抖动让请求直接抛异常，脚本没捕获，整个循环挂掉。

后来改成这样：超时设3秒，异常捕获requests.exceptions.RequestException，连续失败三次才判定为“服务不可用”。重试间隔用time.sleep(2 ** attempt)做指数退避。改动不大，误报率降到几乎为零。检测这件事，容错设计比检测逻辑本身更重要。

用集合和计数器做状态对比

检测文件是否被篡改，我的做法不是每次算完整哈希——那太慢。而是先存一份文件路径和修改时间的字典，下次跑的时候对比。如果修改时间变了，再算哈希。哈希也不用全算，只算前1MB和后1MB，中间跳过。对于大文件，这招能省掉百分之九十的IO。

检测网页内容变化，我用difflib.SequenceMatcher算相似度。相似度低于0.95就报警。但有个坑：很多网页每次刷新都会变，比如时间戳、随机广告位。所以我会先提取正文区域，把script和style标签全删掉，再比较。这套逻辑跑了半年，帮我抢到过两次演唱会回流票。

写检测脚本的人得有点偏执

我认识一个运维，他写的检测脚本会记录每次检测的耗时，画成折线图。有一天他发现某个接口的响应时间从80ms缓慢爬到了200ms，虽然还没触发报警阈值，但他去查了，发现是数据库索引失效。这种“趋势检测”比单纯的阈值报警有用得多。

Python做检测，标准库和第三方库都够用。subprocess调系统命令、psutil看进程、socket测端口、hashlib算校验和。别追求花哨，把异常分支写全，把日志打清楚，比什么都强。我现在的检测脚本里，每个except块都会记录traceback.format_exc()，哪怕只是网络超时。因为有一次一个诡异的SSL错误，就是靠完整的堆栈信息才定位到是系统证书过期。

检测的本质是信任但验证。你信任数据源会稳定输出，但必须验证它真的做到了。Python只是工具，偏执才是方法论。

(责任编辑：娱乐)