Linux中的Journalctl

journalctl 是 Linux 中用于查询和显示 systemd-journald 日志系统的工具，可高效管理系统日志。以下是核心用法详解：

---

1. 基础查询

• 查看完整日志（默认显示当前启动周期的日志）：

  journalctl
  

• 查看所有日志（含历史启动记录）：

  journalctl --all
  

---

2. 按时间过滤

• 查看今日日志：

  journalctl --since today
  

• 指定时间范围（格式：YYYY-MM-DD HH:MM:SS）：

  journalctl --since "2023-10-01 09:00:00" --until "2023-10-01 17:00:00"
  

• 查看最近 N 分钟/小时的日志：

  journalctl --since -10m    # 最近10分钟
  journalctl --since -2h     # 最近2小时
  

---

3. 按服务/进程过滤

• 查看指定服务日志（如 nginx）：

  journalctl -u nginx.service
  

• 查看进程 PID 的日志：

  journalctl _PID=1234
  

---

4. 按日志级别过滤

• 仅显示错误信息：

  journalctl -p err
  

• 级别分类（从高到低）：

  0: emerg（紧急）   3: err（错误）    6: info（信息）
  1: alert（警报）   4: warning（警告）7: debug（调试）
  2: crit（严重）    5: notice（通知）
  

---

5. 实时监控与分页

• 实时跟踪日志更新（类似 tail -f）：

  journalctl -f
  

• 分页查看（按空格翻页，q 退出）：

  journalctl | less
  

---

6. 高级功能

• 导出日志为文本：

  journalctl > log.txt
  

• 查看内核日志：

  journalctl -k
  

• 清理旧日志（保留最近 1G 空间）：

  journalctl --vacuum-size=1G
  

---

7. 组合查询示例

# 查看 nginx 服务今日的错误日志
journalctl -u nginx.service --since today -p err

# 跟踪 systemd 服务的实时日志
journalctl -f -u systemd

💡 提示：

• 使用 --help 查看完整参数列表：journalctl --help
• 日志存储位置：/var/log/journal/（需确保 Storage=persistent 在 /etc/systemd/journald.conf 中启用）