Linux journalctl按服务与时间窗口过滤日志的命令组合

排查 Linux 服务时，直接执行 journalctl 往往会看到一大段历史记录。更稳妥的组合是先锁定服务，再限制时间，最后按优先级收窄：journalctl -u nginx.service --since "today" -p warning..emerg --no-pager。这样得到的结果既能复制给同事，也更容易和故障时间线对照。

官方地址：https://www.freedesktop.org/software/systemd/man/latest/journalctl.html

一、先按服务限定日志来源

-u/--unit 是最先应该加的过滤条件。它针对 systemd unit，可以写完整服务名，也可以使用匹配到的实例模式。先确认单元名，再执行下面的命令，避免把服务别名当成实际 unit。

# 先列出目标服务最近的记录，并关闭分页，便于复制和继续处理
journalctl --unit=nginx.service --no-pager

# 只看本次启动中的该服务日志
journalctl -u nginx.service -b 0 --no-pager

如果结果为空，先检查服务是否真的由 systemd 管理，以及当前用户是否有读取系统日志的权限。空结果不等于服务没有输出，也可能是单元名、启动批次或日志存储范围不对。

二、再用时间窗口控制样本

服务确定后，再加时间边界。--since 包含起点之后的记录，--until 限制到终点之前；可以使用完整日期时间，也可以使用 today、yesterday 或 -30min 这类相对表达。

# 查看今天 09:00 到 09:20 的服务日志，时间边界写清楚
journalctl -u nginx.service \
  --since "2026-09-20 09:00:00" \
  --until "2026-09-20 09:20:00" \
  --no-pager

# 临时排查最近半小时，适合刚发生的故障
journalctl -u nginx.service --since "-30 min" --no-pager

生产事故记录里建议保存完整时间和时区，不要只写“刚才”。相对时间适合现场缩小范围，复盘时应换成绝对时间，避免命令再次执行后样本发生漂移。

三、叠加优先级并选择实时跟踪

-p/--priority 可接单个级别或范围。syslog 级别从 emerg 到 debug 依次为 0 到 7；写成 err..alert 时只保留范围内的消息。实时追踪用 -f，它会沿用前面的服务、时间和优先级条件。

# 只保留 error 到 alert，过滤掉普通提示信息
journalctl -u nginx.service -p err..alert \
  --since "today" --no-pager

# 持续观察新的 warning 及更严重记录；按 Ctrl+C 结束跟踪
journalctl -u nginx.service -p warning..emerg -f

这里有一个容易忽略的边界：-p err 不是只匹配 error，而是匹配 error 及更严重级别；需要精确范围时使用 err..err。实时模式适合验证修复是否生效，不适合代替一次带固定时间边界的事故取证。

四、复杂场景改用结构化字段

当同一服务包含多个进程，或者 unit 名称不足以说明来源，可以使用 journal 字段进行匹配。例如先用字段名确认记录属于哪个 systemd unit，再结合进程号定位某一轮重启产生的输出。

# 按结构化字段筛选 unit，并只输出关键字段，减少噪声
journalctl _SYSTEMD_UNIT=nginx.service \
  -o json --no-pager \
  --output-fields=__REALTIME_TIMESTAMP,PID,PRIORITY,MESSAGE

# 用当前启动批次和 unit 组合，避免混入上一次启动的同名服务
journalctl -b 0 _SYSTEMD_UNIT=nginx.service --no-pager

最终建议把命令、执行时间、主机时区和权限身份一起记录。若普通用户看不到系统范围日志，不要先改日志配置，先确认读取权限；若字段过滤没有结果，再回退到 -u 检查 unit 名称和实际字段。

相关问题

如何只看某个服务最近一次启动？

使用 -b 0 叠加 -u 服务名，它表示当前启动批次。

为什么 journalctl 加了 -p err 仍然有多种级别？

单个级别表示该级别及更严重级别；需要精确范围时写成 err..err。

实时跟踪怎样避免把旧日志当成新事件？

用 -f 观察新增记录，同时先用固定时间窗口做一次基线查询，并记录开始时间。