journalctl --after-cursor 从指定位置继续读取日志

排查服务故障时，最怕每次都从一大段旧日志开始翻。journalctl --after-cursor 解决的是“从某一条日志之后继续读”这个窄问题：先拿到一条完整 cursor，再让 journalctl 输出它之后的条目。它不是按时间猜位置，也不会把 cursor 对应的那条记录再次当作新结果。

实用写法是先用 --show-cursor 获取位置标识，再用 --after-cursor=CURSOR 续读；如果要反复拉取，则把位置交给 --cursor-file=FILE 管理。

本文先记住三点：cursor 是日志位置标识；过滤条件必须保持一致；空结果通常表示当前位置后暂时没有新条目，不等于命令失效。

先确认 cursor 到底代表哪一条日志

我会先把同一服务的一小段日志和 cursor 一起取出来。--show-cursor 会在输出末尾显示最后一条记录的 cursor，拿到它，才有可靠的续读起点。

# 先限制服务范围，并在末尾显示本次输出的 cursor
journalctl -u nginx.service -n 20 --no-pager --show-cursor

# 也可以直接从某个 cursor 所在位置开始读取
journalctl -u nginx.service --cursor='s=示例游标' --no-pager

不要只复制时间戳，也不要把显示出来的整行提示文字当作参数。实际使用时应保留完整 cursor 字符串，并注意它的格式属于 journalctl 的内部表示，文章示例中的游标只是占位文本。

用 --after-cursor 从指定位置继续读取

拿到上一轮保存的 cursor 后，把它作为 --after-cursor 的值。它的语义是从该位置之后开始展示，因此适合“上次处理到哪里、这次从哪里接着看”的排障脚本。

# CURSOR 必须替换成上一轮获得的完整值
CURSOR='s=示例游标'

# 过滤条件要与获得 CURSOR 时保持一致，避免换了日志范围
journalctl -u nginx.service --after-cursor="$CURSOR" --no-pager

这里的 -u nginx.service 是静态示例，真实环境可以换成目标 unit；如果上一轮按服务过滤，本轮不要突然改成全系统日志。想限制启动范围时再加 -b，按时间缩小范围时可用 --since，但这些条件改变后，空结果的含义也要重新判断。

连续拉取时用 cursor-file 保存进度

如果脚本每隔一段时间调用一次 journalctl，手工传递 cursor 容易被覆盖或截断。--cursor-file=FILE 会在文件存在且包含 cursor 时从它之后读取；命令结束时再写入最后一条记录的 cursor，更适合顺序消费。

# 第一次调用时文件可以不存在，其他过滤条件决定读取范围
journalctl -u nginx.service --cursor-file=/var/lib/my-monitor/nginx.cursor --no-pager

# 后续仍使用同一个文件，避免每轮从头扫描
journalctl -u nginx.service --cursor-file=/var/lib/my-monitor/nginx.cursor --no-pager

需要注意的是，cursor-file 记录的是读取位置，不是业务处理成功标记。如果程序拿到日志后还要写入数据库，应先设计好“读取成功”和“业务提交成功”的顺序，不能把 journalctl 自动更新文件误认为业务事务已经完成。

空结果、过滤变化和日志轮转怎么判断

续读命令没有输出时，按下面的顺序排查：第一，确认 cursor 后确实出现过新日志；第二，确认 -u、-b、--since 等范围没有变化；第三，确认 cursor 没有被换行、引号或脚本转义破坏；最后再考虑日志已经轮转或对应条目不在当前可见 journal 中。

--cursor 和 --after-cursor 的差别也很关键：前者从指定位置开始，后者从指定位置之后开始。想避免重复处理上一轮已经看过的那条记录，应选择后者；想把锚点本身重新纳入观察范围，才考虑前者。

相关问题

--after-cursor 能不能只配合 --follow 使用？

不必。它可以作为一次性读取的起点；是否持续等待新日志由其他选项和调用方式决定。

为什么同一个 cursor 换了 -u 后没有结果？

因为过滤范围已经改变。先恢复获取 cursor 时的服务、启动和时间条件，再判断 cursor 后是否真的有新条目。

cursor-file 适合代替业务队列吗？

不适合。它只保存 journal 读取位置；重试、幂等、提交确认和失败补偿仍要由业务程序负责。

把问题收窄后，--after-cursor 的使用并不复杂：先产生完整 cursor，再在相同日志范围内从它之后读取；需要连续调用时，让 --cursor-file 保存最后位置。这样排查时既不会反复翻旧日志，也不会把过滤变化误判成 journal 没有更新。