journalctl 怎样只输出指定字段

如果脚本只关心日志时间、服务单元和消息正文，不必让 journalctl 把整条 journal 记录的元数据都吐出来。正确的思路是把“输出格式”和“输出哪些字段”分成两个选项：用 -o json 产生逐行 JSON，再用 --output-fields=字段1,字段2 做字段白名单。

官方地址：https://github.com/systemd/systemd/blob/main/man/journalctl.xml

先记住这条命令

“只输出指定字段”可以写成下面这样。这里的 -u nginx.service 只是示例匹配条件，换成自己的服务名即可。

# 用 JSON 表示每条日志，并只保留脚本真正需要的字段
journalctl -u nginx.service -n 50 --no-pager \
  -o json \
  --output-fields=__REALTIME_TIMESTAMP,_SYSTEMD_UNIT,PRIORITY,MESSAGE

冻结候选里常写成“-o json-fields”，但在当前 systemd 手册里，json 是输出模式，字段筛选使用独立的 --output-fields=。不要把两者拼成一个不存在的输出模式；把它们分开写，脚本也更容易按需切换为 json-pretty 或 cat。

把目标拆成输出格式和字段白名单

这条命令可以看成两层配置。第一层决定记录怎样序列化，第二层决定序列化时显示哪些字段。--output-fields 对 verbose、export、json、json-pretty、json-sse、json-seq 以及 cat 有效；它不是过滤日志记录的条件。

因此，_SYSTEMD_UNIT=nginx.service 这样的 FIELD=VALUE 是查询匹配条件；_SYSTEMD_UNIT 出现在 --output-fields 中时，才是要显示的字段。两种写法看起来相似，职责并不相同。

为脚本选出最小字段集

脚本通常不需要完整的进程环境信息。下面这组字段足够支撑“什么时候发生、哪个单元产生、严重程度如何、消息是什么”的基础处理：

# 字段名用逗号分隔；不要在逗号后加入空格，便于复制到脚本参数中
FIELDS="__REALTIME_TIMESTAMP,_SYSTEMD_UNIT,PRIORITY,MESSAGE"

# --no-pager 让输出直接进入管道；-n all 才会读取全部匹配记录
journalctl -u nginx.service -n 100 --no-pager \
  -o json --output-fields="$FIELDS"

__REALTIME_TIMESTAMP 是 JSON 序列化时使用的地址元数据字段，适合让下游程序保留原始时间顺序；_SYSTEMD_UNIT、PRIORITY 和 MESSAGE 则分别承担来源、级别和正文。字段名应从实际要消费的任务反推，不要因为“以后可能会用到”就把整条记录全部带上。

把逐行 JSON 交给一个小工具

-o json 的输出适合逐行消费：一条日志记录对应一个 JSON 对象。下面的 Python 小工具不改变 journal 数据，只读取标准输入并输出一行简短摘要，适合接在命令后面做二次处理。

#!/usr/bin/env python3
import json
import sys

# 逐行读取 JSON，避免一次性把历史日志全部装进内存
for line in sys.stdin:
    line = line.strip()
    if not line:
        continue

    # journalctl 的单条记录通常是对象；坏行交给调用方观察而不是静默吞掉
    try:
        record = json.loads(line)
    except json.JSONDecodeError as exc:
        print(f"无法解析日志行: {exc}", file=sys.stderr)
        continue

    # get 给缺失字段提供稳定占位，避免脚本因某条记录字段不齐而退出
    timestamp = record.get("__REALTIME_TIMESTAMP", "-")
    unit = record.get("_SYSTEMD_UNIT", "-")
    priority = record.get("PRIORITY", "-")
    message = record.get("MESSAGE", "")
    print(f"{timestamp} {unit} priority={priority} {message}")

# 把字段白名单和逐行消费者串起来，结果仍保持一条日志一行
journalctl -u nginx.service -n 100 --no-pager \
  -o json \
  --output-fields=__REALTIME_TIMESTAMP,_SYSTEMD_UNIT,PRIORITY,MESSAGE \
  | python3 journal_summary.py

理解固定元数据和字段缺失

使用这些输出模式时，systemd 会保留若干地址元数据字段：__CURSOR、__REALTIME_TIMESTAMP、__MONOTONIC_TIMESTAMP 和 _BOOT_ID 始终会输出。这意味着字段白名单不是“任何字段都能绝对隐藏”的承诺；如果下游协议不能接受这些字段，要在消费者层明确忽略它们。

另外，某些日志记录可能没有你期待的业务字段，或者同一个字段存在多个值。消费代码要使用缺省值处理缺失字段，不要把所有记录都假定成完全相同的 schema。JSON 序列化还会把非 UTF-8 数据表达为数字数组；超过 4096 字节的字段在未使用 --all 时可能显示为 null，这也是脚本应当把字段当作不稳定输入处理的原因。

形成可复用的命令模板

最后可以把命令拆成三个可替换部分：记录匹配条件、输出格式和字段白名单。下面模板适合放入定时任务或故障采集脚本，默认不打开分页，也不无限读取历史数据。

# 用环境变量替换服务和时间范围，保持命令结构不变
UNIT="my-worker.service"
FIELDS="__REALTIME_TIMESTAMP,_SYSTEMD_UNIT,PRIORITY,MESSAGE"

# --since 只限定查询范围；--output-fields 只限定每条记录的展示字段
journalctl -u "$UNIT" --since "30 min ago" -n 200 --no-pager \
  --output=json --output-fields="$FIELDS"

如果读者只想给人快速看消息，可以把输出模式换成 -o cat，但这样就不再是 JSON 消费链路；如果脚本需要结构化数据，保留 -o json，只调整字段列表。这样既能控制输出体积，也不会把查询条件和显示字段混在一起。

常见问题

-o json-fields 能直接使用吗？

不要把它当成一个独立输出模式。当前手册的组合写法是 -o json --output-fields=FIELD1,FIELD2，也可以写成等价的长选项形式。

为什么我指定字段后仍看到了几个下划线开头的字段？

这是输出模式保留的地址元数据字段。把它们当作记录定位信息，在下游解析时按需要忽略即可。

字段白名单能过滤掉日志记录吗？

不能。用 -u、FIELD=VALUE、--since 等参数缩小记录集合，用 --output-fields 缩小每条记录的字段集合。

总结

journalctl 只输出指定字段的关键是分层：-o json 负责结构化编码，--output-fields=... 负责字段白名单，-u、--since 和 -n 负责记录范围。把三层拆开后，命令可以直接接入逐行 JSON 脚本，也更容易解释固定元数据、字段缺失和大字段限制这些边界。