journalctl -f -o json可实时输出单行结构化JSON日志流，支持按服务、优先级、时间等过滤，并兼容jq解析与系统对接。
使用 journalctl -f -o json 可以实时输出结构化的 JSON 日志流，非常适合脚本解析、日志采集或对接 ELK、Prometheus 等系统。
基础命令与关键选项
journalctl -f -o json 是核心组合：
-
-f：启用“follow”模式，持续监听新日志（类似
tail -f） -
-o json：以单行 JSON 格式输出每条日志，字段完整、无换行、可直接被
jq或 Python 的json.loads()解析 - 不加
--all时默认只显示当前用户可读的日志；如需系统级日志，建议加--all或用sudo
过滤日志提升实用性
纯全量日志流噪音大，常用过滤方式有：
Linux Ai Server
下载
Linux AI 服务器 — 将 Linux 服务器转换为本地 AI 推理集群。使用 systemd、NVIDIA CUDA 实现无头 Linux AI，零 GUI 开销。
- 按服务：
journalctl -u sshd -f -o json - 按优先级：
journalctl -p err -f -o json（只输出 error 及以上） - 按时间范围：
journalctl --since "2024-01-01" -f -o json（注意：-f 仍保持追加，但起始点从指定时间开始） - 组合过滤：
sudo journalctl -u nginx -p warning..err -f -o json（warning 到 err 级别）
编程处理示例（Bash + jq）
用 jq 实时提取关键字段，例如只取时间、服务名、消息：
journalctl -u nginx -f -o json | jq -r '.__REALTIME_TIMESTAMP, .UNIT, .MESSAGE'
更实用的管道链（带错误忽略和格式化）：
journalctl -u docker -f -o json 2>/dev/null | \
while IFS= read -r line; do
echo "$line" | jq -r 'select(.MESSAGE != null) | "\(.__REALTIME_TIMESTAMP | tonumber | strftime("%Y-%m-%d %H:%M:%S")) [\(.UNIT)] \(.MESSAGE)"' 2>/dev/null
done
注意事项与避坑点
实际使用中容易忽略的细节：
- JSON 输出中时间戳是微秒级 Unix 时间（
__REALTIME_TIMESTAMP），不是 ISO 字符串，需转换才能可读 - 某些字段如
_HOSTNAME、_PID、_COMM是 systemd 自动添加的元数据，不一定所有日志都有 - 日志内容含换行或特殊字符时，
-o json已自动转义，无需额外处理 - 如果进程意外中断，
journalctl -f不会自动重连；脚本中建议用systemd-journal-gateway或封装重试逻辑
