MaxRetentionSec 无法实现秒级擦除，仅设定日志文件最长保留时间，实际清理由 systemd-journald 每15–30分钟定期触发，且受文件活跃状态、调度周期及磁盘空间策略共同影响。
MaxRetentionSec 不能实现秒级擦除，它只控制日志文件的最长保留时间，且实际清理由 systemd-journald 定期触发（默认每 15–30 分钟一次），并非实时或秒级响应。
MaxRetentionSec 的真实行为
该参数指定日志文件在磁盘上最多保存多久（例如 MaxRetentionSec=3600 表示最多保留 1 小时）。但 journald 不会为每条日志单独计时，而是按日志文件（.journal 或 .journal~）为单位判断是否过期。只有当整个文件的最旧日志条目已超时，且该文件不再被写入时，才可能被删除。即使设为 1s，也不会导致“秒级擦除”——因为：
- journald 不以秒为粒度轮询清理；
- 活跃日志文件（正在写入）不会被立即删除；
- 清理动作依赖于
systemd-journald的内部调度周期（通常数分钟）； - 底层还受
MaxFileSec和磁盘空间策略（SystemMaxUse等）影响。
想更及时清理？优先用空间阈值控制
比时间更可靠的是磁盘用量控制。journald 在空间不足时会主动压缩、轮转或删除旧日志，响应更快：
-
SystemMaxUse=50M：限制 /var/log/journal 总大小； -
SystemKeepFree=100M：确保至少留出 100MB 空闲； -
MaxFileSec=1h：让单个日志文件最多存 1 小时数据（配合轮转更细粒度）； - 搭配
Storage=persistent（确保日志落盘）和Compress=yes（减小体积）。
需要接近秒级可控？得绕开 journald 原生机制
若业务场景真要求日志存活 ≤ 数秒（如安全审计临时调试），建议不依赖 journald 自动清理，而采用外部主动管理：
- 用
journalctl --since "1 second ago"按需读取，避免长期留存； - 将关键日志导出到独立管道或内存文件系统（如
/dev/shm），由脚本定时truncate或rm； - 配置
ForwardToSyslog=no+ 外部日志代理（如 fluent-bit），用其 TTL 功能做精确时效控制； - 禁用持久化（
Storage=volatile）并挂载/run/log/journal到 tmpfs，重启即清空——但无法跨重启保留。
修改后必须重启服务才生效
编辑 /etc/systemd/journald.conf 后，需执行：
-
sudo systemctl kill --signal=SIGUSR1 systemd-journald（触发日志轮转）； -
sudo systemctl restart systemd-journald（完全重载配置）； - 验证：
journalctl --disk-usage和journalctl --list-boots观察保留范围变化。
