journalctl 多个字段条件怎么组合 AND 与 OR

journalctl 的字段匹配不是把每个参数简单地拼成一条文本搜索式。不同字段的匹配默认是 AND，同一字段重复写多个值是 OR；如果要把两组完整条件做 OR，需要在两组匹配之间单独放一个 +。掌握这三条规则，就能把“某服务的某进程”与“另一服务的全部日志”写成一条可读查询。

官方地址：https://www.freedesktop.org/software/systemd/man/latest/journalctl.html

先分清字段匹配的三种逻辑关系

journalctl 的位置参数可以写成 FIELD=VALUE。当命令里出现不同字段时，日志记录必须同时满足这些字段；同一个字段出现多个值时，任意一个值满足即可。这个规则适合把服务范围和进程范围逐层收窄。

不同字段直接并列就是 AND

排查某个服务的单一进程时，把字段并列写在同一组即可。下面的 _SYSTEMD_UNIT 限定服务，_PID 再限定进程，只有两者都满足的记录会留下。

# 只查看 api.service 中 PID 1234 产生的日志
journalctl _SYSTEMD_UNIT=api.service _PID=1234 --no-pager

# 先列出日志里出现过的字段，确认字段名再组合条件
journalctl --fields

# 只显示指定服务最近一段日志，减少首次排查的输出范围
journalctl -u api.service --since "30 min ago" --no-pager

这里的 --no-pager 只是控制输出方式，不改变筛选逻辑。字段名要完全匹配 journal 中的实际字段；服务名通常使用 systemd unit 名称，PID 则是记录里的结构化字段。若命令返回空结果，先去掉一个条件逐项确认，不要马上把它当成服务没有产生日志。

同一字段重复写多个值就是 OR

需要查看两个服务的日志时，可以重复同一个字段。它们会被视为同一字段的候选值，而不是要求一条记录同时属于两个不同服务。

# 查看 api.service 或 worker.service 的日志
journalctl _SYSTEMD_UNIT=api.service _SYSTEMD_UNIT=worker.service --no-pager

# 同一字段还可以继续增加候选 unit，按实际排查范围控制数量
journalctl _SYSTEMD_UNIT=api.service _SYSTEMD_UNIT=worker.service _SYSTEMD_UNIT=cron.service \
  --since today --no-pager

同字段 OR 只适合“字段相同、值不同”的候选集合。如果每个候选还带有不同的 PID、优先级或消息条件，就应该用 + 把完整条件分组。

用加号连接两组完整条件

+ 必须作为独立参数出现在两组匹配之间。它表示前后两组条件做析取，也就是任意一组匹配即可。下面一组找 api.service 的 PID 1234，另一组找 db.service 的全部记录：

# + 两侧都是完整匹配组，表示两组条件取 OR
journalctl _SYSTEMD_UNIT=api.service _PID=1234 + _SYSTEMD_UNIT=db.service \
  --since "1 hour ago" --no-pager

# 值中含空格时交给 shell 的引号保护，+ 仍保持独立
journalctl _SYSTEMD_UNIT=api.service MESSAGE="connection refused" \
  + _SYSTEMD_UNIT=db.service --no-pager

不要写成 api.service+db.service，也不要把 + 交给 shell 做算术或字符串拼接。journalctl 需要看到单独的加号参数，才能建立组间 OR。

权限、字段和 grep 的边界

结构化字段适合先缩小日志集合，grep 更适合对已经输出的文本做补充匹配，例如过滤一条消息里的词。不要用管道替代字段逻辑：文本格式可能随输出选项变化，而字段匹配仍然基于 journal 记录中的结构化键。普通用户看不到某些系统日志时，空结果也可能是权限问题；可先用当前用户能读取的 unit 验证命令，再按运维权限策略处理。

常见问题

两个不同字段能不能写成 OR？

可以，但要把每个完整条件组写好，再用独立的 + 连接。例如“api 且 PID 123”与“db 的全部日志”就是两组 OR。

为什么重复两个 unit 没有同时满足的效果？

因为同一字段的多个匹配会作为候选值。若想同时限定服务和 PID，应使用不同字段并列。

journalctl 能直接按 MESSAGE 做包含搜索吗？

MESSAGE= 是字段匹配，适合精确字段值；需要更灵活的文本包含、正则或大小写策略时，可先用结构化字段缩小范围，再把结果交给 grep。

实际排查时，先确认字段名，再写同字段候选；只有条件组本身带有多个字段时，才使用 + 表达组间 OR。这样查询既接近问题边界，也更容易复盘。