journalctl -u nginx.service -f可实时跟踪服务最新日志，-f实现自动滚动；journalctl -u sshd --lines=20静态查看最后20行；journalctl -u docker --since "1 hour ago" --no-pager按时间筛选并禁用分页。
journalctl -u <service> 默认就从最新日志开始显示（即“最末尾”），但默认只显示最近 1000 条。要直接跳转到最新一条并持续跟踪，关键不是“跳转”，而是用对的选项组合。
✅ 正确命令：实时查看服务最新日志
`journalctl -u nginx.service -f`（以 nginx 为例）
- -u 指定服务单元名（可省略 `.service`）
- -f（follow）表示“跟随输出”，效果等同于 `tail -f`，自动滚动显示新增日志
- 默认已从最新条目开始，无需额外跳转
? 查看最新几条（不跟踪，仅快照）
`journalctl -u sshd --lines=20`
- --lines=N 或 -n N：只显示最后 N 行（如 20、50、100）
- 不加 `-f` 就是静态查看，执行完即退出
- 若服务刚启动，最新日志可能在末尾几行，这个组合最常用也最轻量
⚡ 进阶：精准定位“最新一次启动”的日志
`journalctl -u docker --since "1 hour ago" --no-pager`
- --since 按时间过滤（支持 `"2024-05-20 14:30"`, `"1 hour ago"`, `"today"` 等）
- --no-pager 避免进入 less 分页器，适合脚本或快速扫读
- 结合 --reverse 可倒序显示（最新在最上面），再配合 --lines=10 快速抓取顶部最新几条
⚠️ 注意事项
- 服务名必须准确，可通过 `systemctl list-units --type=service | grep xxx` 确认
- 若日志被轮转或系统重启过，最新日志未必代表“当前运行状态”，建议搭配 `systemctl status xxx` 一起看
- 普通用户可能无权读取全部日志，需加 `sudo`（如 `sudo journalctl -u mysql`）
- 日志单位名不一定是二进制名（如 `php-fpm` 单元常叫 `php7.4-fpm` 或 `php8.1-fpm`）
