Linux按时间范围过滤日志需区分日志类型：systemd日志用journalctl原生支持时间过滤，如--since/--until；传统文本日志需用awk/grep解析时间戳，先确认格式再匹配。
Linux 中按时间范围过滤日志，关键在于日志本身是否包含可解析的时间戳，以及使用合适的工具（如 grep、awk、sed、journalctl）配合时间格式处理。系统日志来源不同（/var/log/ 下的文本日志 vs systemd-journald 的二进制日志），方法也不同。
用 journalctl 按时间范围查 systemd 日志
journalctl 是管理 systemd 日志最直接的方式，原生支持时间过滤，无需手动解析时间戳。
-
查最近1小时的日志：
journalctl --since "1 hour ago" -
查某天的日志：
journalctl --since "2024-05-20" --until "2024-05-21" -
查某一时段（精确到分）：
journalctl --since "2024-05-20 14:30:00" --until "2024-05-20 15:45:00" -
结合服务或优先级过滤：
journalctl -u nginx --since yesterday -p err
用 awk/grep 处理传统文本日志（如 /var/log/messages）
这类日志时间格式不统一（如 May 20 14:23:01 或 2024-05-20T14:23:01），需先确认格式再匹配。
-
查看前几行确认时间格式：
head -n 3 /var/log/messages -
匹配“5月20日 14点以后”的日志（旧式 syslog 格式）：
awk '$1=="May" && $2==20 && substr($3,1,2)>=14' /var/log/messages -
匹配 ISO8601 格式（如 2024-05-20T14:23:01）的范围：
awk '$1" "$2 >= "2024-05-20 14:00:00" && $1" "$2 （要求时间字段在开头两列） -
用 grep 快速粗筛（适合单日或关键词辅助）：
grep "May 20 1[4-5]:" /var/log/messages（匹配 14:xx 和 15:xx）
把日志转成秒级时间戳后排序过滤（高精度需求）
当需要跨多天、做算术比较或处理不规整格式时，可借助 date -d 将时间字符串转为 Unix 时间戳（秒数），再用 awk 计算范围。
-
示例：提取 2024-05-20 14:00 到 15:30 的行（假设每行开头是 'YYYY-MM-DD HH:MM:SS'）：
awk '{cmd="date -d \""$1" "$2"\" +%s 2>/dev/null"; cmd | getline ts; close(cmd); if (ts>=1716213600 && ts<br> （其中 1716213600 = $(date -d "2024-05-20 14:00" +%s)） - 注意：该方法对大日志较慢，建议先用
grep缩小范围再处理
小技巧：实时监控+时间过滤
想边看新日志边限定时间？journalctl 支持实时滚动 + 时间起点：
-
journalctl --since "2024-05-20 14:00:00" -f—— 从指定时刻起持续输出新增日志 - 对文本日志，可用
tail -f配合awk实时判断时间（需日志时间格式稳定）：tail -f /var/log/myapp.log | awk -v start=$(date -d "10 minutes ago" +%s) '{cmd="date -d \""$1" "$2"\" +%s 2>/dev/null"; cmd|getline ts; close(cmd); if (ts>=start) print}'
