不能直接用 journalctl -b --directory PATH 读取离线挂载磁盘中的历史系统日志，因为该命令默认只识别当前系统运行时的 journal 目录结构，且要求 journal 文件处于“可验证状态”（含有效签名、未损坏、匹配机器 ID）。
不能直接用 journalctl -b --directory PATH 读取离线挂载磁盘中的历史系统日志，因为该命令默认只识别当前系统运行时的 journal 目录结构，且要求 journal 文件处于“可验证状态”（含有效签名、未损坏、匹配机器 ID）。离线磁盘上的日志若来自其他主机或已脱离原始运行环境，通常无法被 journalctl 自动识别和解析。
确认日志目录结构是否完整
systemd-journal 要求日志必须存放在符合规范的子目录中，典型路径为：/var/log/journal/<machine-id>/</machine-id>
其中 <machine-id> 是 32 位十六进制字符串（如 123abc456def7890...），位于 /etc/machine-id。若离线磁盘中缺失该 ID 对应的子目录，或 /etc/machine-id 与日志目录名不一致，journalctl --directory 将跳过或报错。
- 挂载磁盘后，先检查：
ls -l /mnt/var/log/journal/ - 比对
/mnt/etc/machine-id内容与子目录名是否完全一致 - 若不一致，可临时软链接或重命名子目录（仅用于调试，不推荐生产环境修改）
使用 --all --no-pager 并指定正确路径
即使目录结构正确，journalctl 默认会跳过非本机 machine-id 的日志。需显式启用跨主机读取：
- 运行：
journalctl --all --no-pager --directory /mnt/var/log/journal/ -
--all强制读取所有可用 journal 文件（包括 machine-id 不匹配的） -
--no-pager避免因终端宽度导致内容截断 - 若仍无输出，尝试加
--verify检查文件完整性（可能提示 CRC 错误或签名失效）
处理常见兼容性问题
离线日志可能因版本差异无法解析：旧版 journal 文件（v18 以下）或使用 Storage=volatile 的系统不会持久化日志；加密日志（Seal=yes）在无原始密钥时不可读。
- 确认源系统 systemd 版本：
/mnt/usr/lib/systemd/systemd --version - 目标系统 systemd 版本需 ≥ 源系统，否则可能拒绝加载新格式日志
- 若日志被密封（sealed），且无原始
/var/log/journal/<id>/system.journal~</id>或密钥备份，无法解密 - 遇到 “Invalid argument” 或 “Not a directory” 错误，检查是否误指定了 journal 文件本身（如
system.journal），而非其所在目录
替代方案：导出为文本再分析
当 journalctl --directory 失效时，最可靠的方式是导出为可移植格式：
- 进入挂载点：
cd /mnt - 导出全部日志：
journalctl --all --no-pager --directory ./var/log/journal/ > /tmp/offline-logs.txt - 或按时间范围导出：
journalctl --since="2024-01-01" --until="2024-01-31" --all --directory ./var/log/journal/ > /tmp/jan-logs.txt - 导出为 JSON（便于脚本处理）：
journalctl --all --output=json --directory ./var/log/journal/ > logs.json
