【基础】每天掌握一个Linux命令 - journalctl：系统日志管理的得力助手

原创于 2025-06-06 23:06:06 发布 · 532 阅读

20 ·

CC 4.0 BY-SA版权

文章标签：

#linux #运维 #服务器

每日一令：Linux 极简通关指南专栏收录该内容

30 篇文章

订阅专栏

【基础】每天掌握一个Linux命令 - journalctl：系统日志管理的得力助手

在Linux系统的日常运维中，日志管理是一项至关重要的工作。当系统出现故障、服务运行异常时，通过查看日志能快速定位问题。journalctl就是一款强大的日志管理工具，它可以帮助我们高效查询、分析系统日志，轻松应对各类与日志相关的场景问题。

一、工具概述

journalctl是systemd日志管理系统的一部分，用于查询和显示systemd日志。它统一管理来自内核、启动过程、服务及应用程序的日志信息，替代了传统的syslog日志系统，支持结构化查询，能通过各种条件快速筛选出所需日志，让日志管理更加高效便捷。

二、安装方式

在大多数基于systemd的Linux发行版（如CentOS、Debian、Ubuntu等）中，journalctl命令随系统默认安装，无需额外安装。如果发现系统中没有该命令，可能是系统未使用systemd，这种情况下需更换为使用systemd的Linux发行版或采用其他日志管理方案。

三、核心功能

功能分类	具体功能描述
日志查询	支持按时间、服务名称、进程ID等多种条件查询日志
日志过滤	可根据优先级、关键字等过滤特定日志信息
日志显示控制	调整日志显示格式、分页方式等
日志归档管理	对历史日志进行压缩、删除等操作

四、基础用法

查看所有日志
```
journalctl
```
该命令默认显示所有日志，按时间顺序排列，新日志在下方。
按时间范围查询日志
- 指定开始时间：journalctl --since "2024-01-01 00:00:00"，显示从2024年1月1日0点开始的日志。
- 指定时间段：journalctl --since "2024-01-01 00:00:00" --until "2024-01-02 00:00:00"，显示2024年1月1日当天的日志。
按服务名称查询日志
```
journalctl -u sshd
```
仅显示sshd服务相关的日志，-u参数用于指定服务单元名称。
按进程ID查询日志
```
journalctl _PID=1234
```
显示进程ID为1234的相关日志。
按日志优先级查询
```
journalctl -p err..crit
```
显示优先级为错误（err）到严重错误（crit）的日志，-p参数指定优先级范围。
显示实时日志
```
journalctl -f
```
类似于tail -f，实时显示新产生的日志。

五、进阶操作

按引导会话查询日志
```
journalctl -b
```
显示当前引导会话的日志。若要显示上一次引导会话日志，可使用journalctl -b -1。返回结果包含时间戳、日志来源、日志信息等内容，其中时间戳记录日志产生时间，日志来源标识是哪个服务或进程产生的日志，日志信息则是具体的事件描述。
以JSON格式输出日志
```
journalctl -o json
```
将日志以JSON格式输出，便于程序解析处理。例如，在开发自动化日志分析脚本时，JSON格式的日志数据更方便提取和分析。
统计各服务日志数量
```
journalctl -u sshd --no-pager | wc -l
```
统计sshd服务的日志行数，--no-pager参数用于不启用分页，直接输出日志内容，配合wc -l统计行数。

六、实战案例

案例一：面试题场景

问题：如何快速定位系统中某服务在过去一小时内的错误日志？
解答：使用命令journalctl --since "-1 hour" -u <服务名称> -p err..crit，如要查找httpd服务的错误日志，可执行journalctl --since "-1 hour" -u httpd -p err..crit，能快速筛选出过去一小时内httpd服务产生的错误及更严重级别的日志，帮助排查服务故障。

案例二：生产场景

在生产环境中，某数据库服务突然运行缓慢。通过journalctl -u postgresql查看postgresql服务日志，发现大量磁盘I/O相关的错误信息，结合journalctl --since "故障发生时间" --until "当前时间" -u postgresql，准确定位到故障时间段内的详细日志，最终确定是磁盘空间不足导致数据库服务性能下降，及时清理磁盘空间后恢复正常。