Linux journalctl --since --until 怎样按时间截取日志

排查 systemd 服务时，如果直接执行 journalctl -u api.service，结果往往会混入太早或太新的记录。更稳妥的做法是同时给出 --since 和 --until：前者限定日志的起点，后者限定终点。完整写法如下：

# 用完整日期和时间固定排查窗口，避免命令换天后含义漂移
journalctl --since "2026-10-29 09:00:00" --until "2026-10-29 10:30:00" --no-pager

这两个参数不是按行号截取，而是按 journal 条目的时间过滤。官方文档把 --since 定义为显示该时间之后或同时的条目，把 --until 定义为显示该时间之前或同时的条目。文章中的日期只是示例，实际排查时应换成故障发生的本地时间。

先用完整时间写出稳定的起止范围

如果问题描述是“09:00 到 10:30 之间服务出现异常”，建议先把两个时间都展开为 YYYY-MM-DD HH:MM:SS。日期被省略时，systemd 会把它当作当天；时间被省略时则按当天的 00:00:00 处理。对跨午夜故障来说，只写时分很容易把范围误读成同一天。

# 跨午夜时明确写出两边的日期，避免 00:15 被理解成错误的一天
journalctl --since "2026-10-28 23:50:00" --until "2026-10-29 00:15:00" --output=short-full --no-pager

--output=short-full 会用包含日期、星期和时区信息的完整时间样式显示结果，便于把输出与查询边界对照。若脚本要保存命令或交给同事复查，完整时间通常比“今天晚上”一类口头描述可靠。

临时排障可以用 today、yesterday 和相对时间

轮值时经常只需要回答“今天凌晨之后发生了什么”或“最近两小时有没有异常”。这时可以用系统支持的特殊时间词：

# today 从当天 00:00:00 开始，直到命令执行时刻
journalctl --since today --no-pager

# yesterday 表示前一天的 00:00:00，可配合 until today 截取完整前一天
journalctl --since yesterday --until today --no-pager

# 负号表示相对当前时刻向前推两个小时；用等号让参数边界更清楚
journalctl --since="-2h" --no-pager

now 表示当前时刻，tomorrow 表示下一天的零点；相对时间还可以写成 -30min、+1h 等形式。相对时间的优点是输入短，缺点是同一条命令在不同时间执行，查询窗口也会变化。因此需要共享排查结果时，应把最终的绝对时间记录下来。

把时间范围与服务和启动周期组合

时间过滤通常只是第一层。systemd 主机上同一时间可能有很多单元同时写日志，可以再用 --unit 指定服务；如果服务重启过多次，则可以用 --boot 限定启动周期。

# 只看目标服务在指定时间窗内的日志
journalctl --unit=api.service \
  --since "2026-10-29 09:00:00" \
  --until "2026-10-29 10:30:00" \
  --no-pager

# 只看上一次启动周期，并保留相同的时间边界
journalctl --boot=-1 --unit=api.service \
  --since "2026-10-29 09:00:00" \
  --until "2026-10-29 10:30:00" \
  --output=short-full --no-pager

这些筛选条件会一起收窄结果：时间段、单元和启动周期必须同时匹配。--boot=-1 表示当前启动之前的一个启动周期；如果故障发生在当前启动，去掉它或使用当前启动选项。不要把“日志为空”直接等同于“服务没有产生日志”，也要考虑当前用户是否有权限读取系统 journal。

时区、引号和边界时间最容易造成误判

还要留意秒的默认值：省略秒时按 :00 处理，省略时间时按零点处理。若要核对边界是否写对，可以先用完整格式和 short-full 输出；不要在文章或工单里只贴一句“查昨天日志”，而应附上可复制的起止时间。

常见问题

--since 和 --until 可以只写一个吗？

可以。只写 --since 就表示从指定时间开始，只写 --until 就表示查到指定时间为止。需要复盘一个确定窗口时，两个参数一起写更清晰。

为什么加了 --unit 以后仍然有很多日志？

一个服务单元可能关联 systemd 自身消息、子进程或多次启动记录；先确认时间范围和启动周期，再根据需要组合 --boot、--grep 等过滤条件。

相对时间适合写进定时脚本吗？

适合表达“每次运行前两小时”这类滚动窗口，但不适合当作固定审计范围。需要稳定复现时，把执行时刻和解析后的绝对时间一并记录。

记住一个简单顺序：先用完整的 --since/--until 固定时间窗，再按服务补上 --unit，最后根据重启情况决定是否加 --boot。这样既能快速定位，也方便把同一查询交给下一位排障者复用。