journalctl --grep 使用正则筛选 MESSAGE 日志的配置方法

排查 systemd 服务日志时，journalctl --grep 很适合查找“消息正文里出现了什么”。它的作用域不是整条 journal 记录，而是记录中的 MESSAGE= 字段，并使用 PCRE2 正则表达式匹配。实战中更稳妥的写法是先用服务、启动轮次或时间窗口缩小范围，再让 --grep 处理消息文本。

官方地址：https://www.freedesktop.org/software/systemd/man/latest/journalctl.html

先确认 --grep 匹配的是 MESSAGE 字段

一条 journal 记录同时包含服务名、进程号、优先级和消息文本。-u sshd.service 属于结构化字段匹配；--grep='failed|invalid' 则只检查 MESSAGE 的文本。两者可以组合，但不能把 --grep 当成整条记录的通用搜索器。

# 先限定 sshd 服务，再在 MESSAGE 中查找失败或无效提示
journalctl -u sshd.service --grep='failed|invalid' --no-pager

如果想确认某个结构化字段，继续使用 -u、_SYSTEMD_UNIT=... 等 journal 原生匹配方式；不要把字段名写进正则后期待它被 --grep 识别。

把服务、启动轮次和时间条件放在正则前面

日志量大时，先收窄范围比先写复杂正则更容易复查。比如只看本次启动、今天的某个服务，或者只看一段故障窗口。--since 与 --until 使用人类可读的时间表达式；脚本化时建议把时间边界写完整，避免“今天”随执行时刻变化。

# 只查本次启动中 sshd 的 MESSAGE，并隐藏分页器
journalctl -b 0 -u sshd.service --grep='timeout|refused' --no-pager

# 固定一个时间窗口，便于复盘同一段故障
journalctl -u nginx.service --since '2026-10-26 09:00:00' --until '2026-10-26 10:00:00' --grep='upstream|502' --no-pager

下面这张结构图表达的是参数职责，不是某台机器的实际输出：范围层先减少候选记录，消息层再检查 MESSAGE，最后才决定展示条数和分页方式。

处理大小写、PCRE2 和空格边界

官方手册规定：当模式全部由小写字母组成时，匹配默认不区分大小写；只要模式包含大写字母，默认就可能变为区分大小写。为了让脚本和人工命令的行为一致，建议显式指定：

# 显式关闭大小写敏感，避免 ERROR 与 error 得到不同结果
journalctl --grep='error|timeout' --case-sensitive=false --no-pager

# 正则包含空格或括号时用单引号，避免先被 shell 拆分
journalctl --grep='connection (reset|refused)' --case-sensitive=true --no-pager

--grep 的匹配字段是 MESSAGE，而不是 JSON 输出中的任意键。若需要同时判断优先级、服务和消息，先使用 journalctl 的字段参数，再用正则；这样比把所有条件塞进一个表达式更清楚。

用 --lines 和 --follow 做结果复查

临时排障常用 --lines=50 限制结果数量，持续观察新消息则使用 --follow。两者都要结合范围条件，否则你看到的可能只是全局日志中的一小段。手册还特别说明，--lines 与反向查看组合时有自己的方向语义，复查时应明确自己要的是最新记录还是从当前位置向后跟读。

# 只取最近 50 条匹配消息，适合快速确认症状
journalctl -u api.service --grep='panic|fatal' --lines=50 --no-pager

# 持续等待 api.service 的新 MESSAGE，停止时按 Ctrl+C
journalctl -u api.service --grep='retry|backoff' --follow --no-pager

脚本中还可以根据退出码判断命令是否执行成功，但“没有匹配行”和“参数写错、日志不可读”要结合 stderr 与上下文区分。不要因为一次无结果就立即修改服务配置，先扩大时间窗口或去掉正则中的一个条件复查。

相关问题

--grep 能不能直接匹配 UNIT？

不能把它当作任意字段匹配器。服务单元应使用 -u 或 journal 字段匹配，--grep 专注于 MESSAGE。

为什么写了大写字母后结果变少？

模式的大小写策略会影响匹配。为了避免默认规则带来的误判，脚本中显式加入 --case-sensitive=false 或 true。

正则没有结果时先改什么？

先确认服务名和时间窗口，再把模式缩短为一个稳定词；最后检查 shell 引号和日志消息是否真的写入了 MESSAGE。