journalctl 怎样按 boot ID 查询指定启动日志

先运行 journalctl --list-boots，从目标行复制完整的 32 位 boot ID，再运行 journalctl --boot=该ID 或 journalctl -b 该ID。这样查询条件绑定的是指定启动，而不是可能随日志集合变化的相对编号。

官方地址：https://github.com/systemd/systemd

这个查询能力不是本文宣布的新版本变化。真正需要调整的是使用习惯：临时查看可以使用偏移，长期排障记录应保存 boot ID，并记录查询的是哪台机器、哪份日志集合。本文只讨论 --list-boots 与 -b，不扩展到服务、优先级或时间过滤组合。

从相对偏移改为固定 boot ID

最小操作如下，命令均为只读查询。本文未执行这些命令，也没有真实日志输出。

# 列出当前有权读取的启动记录，复制目标行的完整 boot ID。
journalctl --list-boots --no-pager

# 查询当前系统启动的可见日志。
journalctl -b --no-pager

# 查询当前日志集合中倒数第二轮启动；不是机器永久的启动编号。
journalctl -b -1 --no-pager

把 -1 口头称作“上次启动”很方便，但它依赖当前可见的日志集合。在另一个时间或另一份日志中重复使用，同一个偏移未必还指向同一轮记录。事故单中若只留下 journalctl -b -1，接手的人还需要重建当时的上下文。

固定 ID 不能阻止日志被清理，但能明确“要找哪轮启动”。这是身份定位与数据留存的区别，不能把它理解成历史日志恢复功能。

从启动列表找到真正要查的那一行

--list-boots 的关键列包括相对编号、boot ID，以及该轮第一条和最后一条消息的时间。选择目标行时，编号可作临时定位，ID 才是接下来传入 -b 的值。

表里的“首条消息时间”“末条消息时间”描述的是记录范围，不保证分别等于精确开机时间和关机时间。若某轮日志残缺，不要据此计算机器运行时长或断言它完整经历了关机过程。

这里用五个语义对象理解列表：相对编号、boot ID、首条消息时间、末条消息时间 和 可见日志集合。这不是一份伪造的真实列表，也不需要凭图中的样例值选择 ID。

把 boot ID 作为日志归属条件

指定 -b 会增加 _BOOT_ID 匹配。给出完整 ID、不追加偏移时，就是查询该 ID 对应的启动消息；不带参数的 -b 则指向当前启动。不要把服务进程重启与系统启动混为一谈。

参数是数字偏移时，正数从日志集合起点计数，零和负数从末尾计数。对当前机器的日常查看，这个规则往往直观；对其他来源的日志，则更应固定 ID，不把“集合末尾”直接等同于当前机器启动。

静态查询关系可以拆为 查询参数、指定 boot ID、_BOOT_ID 匹配、日志条目 和 可读日志文件：参数声明身份，字段说明归属，可读文件限定可供查询的材料。

脚本记录 ID，不把偏移当永久编号

下面是原创 Bash 包装示例。保存为自己的查询脚本后，将实际列表中的 ID 作为第一个参数传入；不要把“该ID”等中文占位词直接传给 journalctl。

#!/usr/bin/env bash
set -euo pipefail

# 运行脚本时，把 --list-boots 中复制的完整 ID 作为第一个参数。
selected_boot_id="${1:-}"
if [[ ! "$selected_boot_id" =~ ^[[:xdigit:]]{32}$ ]]; then
    printf '%s\n' '需要提供32位十六进制boot ID，不要填写偏移编号' >&2
    exit 2
fi

# 这里只检查输入形式；日志是否留存、是否可见仍由 journalctl 判断。
# 明确绑定 ID，不把动态变化的 -1 固定写进事故记录。
journalctl --boot="$selected_boot_id" --no-pager

这个检查只拒绝明显不符合 32 位十六进制形式的输入，不证明 ID 存在。脚本没有自动取最后一行，没有偷偷换成当前启动，也没有在日志为空时扩大查询范围。因此排障记录仍能保持指定身份的语义。

若需要查看系统级日志，应在具备相应权限的账户下使用，同一次列表与查询尽量采用相同身份和日志范围。这里不建议为了查询而任意改动权限或给所有账户开放日志。

日志为空时先确认记录是否可见

空结果不等于“这一轮启动没有发生”。先检查 ID 是否复制完整、列表与查询是否来自同一来源，以及当前账户是否有权读取所需记录。若记录本身不在可读文件中，固定 ID 也不会制造消息。

跨启动留存还依赖 journald 的存储方式。volatile 只把新日志放在运行时存储；persistent 优先磁盘存储但有回退条件；auto 根据相关持久目录是否存在选择行为；none 不存储收到的数据。存储策略可以解释留存差异，但修改它不会把过去未保存的日志补回来，本文不执行也不提供改配置操作。

只有一行启动记录，能查 -1 吗？

先确认当前可见集合是否确实包含更早的一轮；只有当前记录时，不能凭 -1 取得不存在的历史。需要旧材料时，应寻找已留存的原始日志，而不是反复换偏移。

boot ID 是文件名还是服务编号？

它标识启动归属，不是日志文件路径，也不是服务每次启动的序号。查询时复制完整 ID，别把列表的相对编号当作 ID。

能把首末消息时间当事故完整窗口吗？

只能先作为定位线索，再结合记录留存情况判断。消息范围和真实事件范围不一定相同。

官方参数说明：https://github.com/systemd/systemd/blob/main/man/journalctl.xml；存储说明：https://github.com/systemd/systemd/blob/main/man/journald.conf.xml。日常查询先看列表，长期记录保存 ID，结果判断同时考虑身份与留存范围。