journalctl 的 --grep 仅匹配 MESSAGE 字段且默认用基本正则（BRE）；需结合 -u、--since 等选项缩小范围，或用外部 grep -E 处理复杂模式，跨字段匹配须借助 json 输出与 jq/awk。
journalctl 支持用 --grep 参数配合正则表达式进行日志行级匹配，但需注意它默认使用基本正则（BRE），且仅对日志的 MESSAGE 字段生效。要实现更灵活、精准的过滤，需结合其他选项协同使用。
正则匹配只作用于 MESSAGE 字段
journalctl 的 --grep 不会匹配 _HOSTNAME、UNIT 或 SYSLOG_IDENTIFIER 等字段。如果想按服务名或进程名模糊筛选，应优先使用 -u、--identifier 或 --field 等原生字段过滤方式。
- 错误示例：
journalctl --grep="sshd.*failed"—— 只能匹配 MESSAGE 中含该模式的行，若失败登录信息被重写或拆分，可能漏掉 - 推荐替代：
journalctl -u sshd | grep -i "failed"或journalctl -u sshd --grep="Failed password"
启用扩展正则（ERE）提升表达能力
加 --full 不影响正则类型；真正启用扩展正则需配合 grep 外部命令，或使用 --grep 时注意 BRE 限制（如 +、?、| 需转义）。
- BRE 下写“一个或多个数字”：用
[0-9]\+（+必须反斜杠转义） - 更清晰的做法：
journalctl -o short-iso | grep -E "(error|fail|warn).*(timeout|refused)" - 避免 shell 展开干扰：正则含空格或特殊字符时，务必用单引号包裹
结合时间与单位缩小匹配范围再正则
直接对全量日志跑正则效率低，还易受缓冲区截断影响。应先用时间窗口和单位约束数据集，再施加文本过滤。
- 查最近1小时 nginx 错误：
journalctl -u nginx --since "1 hour ago" --grep="error\|Error" - 查某次启动期间的 Python 异常：
journalctl -b --unit=myapp.service --grep="Exception\|Traceback" - 排除干扰日志：加 --no-pager 防止分页器截断输出，便于管道传递给 grep
用 --field 和 awk 做结构化正则提取
当需要跨字段匹配（比如“MESSAGE 含 timeout 且 PRIORITY 小于 4”），--grep 无能为力。此时可导出结构化字段，用 awk 或 sed 处理。
- 导出 MESSAGE 和 PRIORITY：
journalctl -o json -n 100 | jq -r 'select(.PRIORITY - 匹配带进程 ID 的 warning 行：
journalctl -o json | jq -r 'select(.MESSAGE | test("warning"; "i")) | "\(.SYSLOG_IDENTIFIER)[\(.PID)]: \(.MESSAGE)"' - 注意：JSON 输出包含所有字段，适合复杂条件组合，但性能略低于原生 journalctl 过滤
正则不是万能钥匙，journalctl 的字段原生过滤更快更稳。把 --grep 当作补充手段，在明确 MESSAGE 内容特征时使用，配合时间、单元、优先级等维度收窄范围，效果更好。
