journalctl 的核心优势是利用结构化元数据精准过滤：用 -u 按服务单元聚焦，用 _PID/_COMM/_UID 等字段做进程级定位，支持自然语言时间表达，结合 -p 和 --grep 可高效筛选优先级与关键词。

journalctl 的过滤能力远不止 tail -f 那样简单。它的核心优势在于利用结构化元数据做精准匹配，而不是在纯文本里硬搜。写好一个查询式，关键不是堆参数，而是理解字段含义、组合逻辑和时间表达的自然性。

按服务单元精准聚焦

用 -u（或 --unit）是最直接的方式，它匹配 systemd 管理的服务名，比如：

• journalctl -u nginx.service —— 查 nginx 主服务日志
• journalctl -u sshd.service -u docker.service —— 同时查多个服务，等价于“OR”逻辑
• journalctl -u "docker*" —— 支持通配符，匹配 docker.socket、docker.service 等

注意：服务名必须带 .service 后缀（除非是 socket、timer 等其他类型），不加后缀可能查不到。

用元数据字段做进程级定位

systemd 日志每条记录都自带字段，这些字段可直接作为过滤条件，无需解析日志内容：

• _PID=1234：锁定某个进程 ID 的全部日志（适合调试单次运行脚本）
• _COMM=python3：匹配执行命令名（比 _EXE 更稳定，不受路径影响）
• _UID=1000：限定用户，_UID=$(id -u) 可快速查当前用户启动的服务
• _SYSTEMD_UNIT=myapp.service：比 -u 更底层，适用于字段缺失时的兜底匹配

多个字段同时使用即为“AND”关系，例如：journalctl _COMM=node _UID=1001 --since "1 hour ago"。

时间范围要写得像人话

journalctl 支持自然语言式时间表达，避免手算时间戳：

• 相对时间：--since "5 min ago"、--until "30 sec ago"
• 日期锚点：--since today、--since yesterday、--since "last week"
• 绝对时间：--since "2026-06-08 14:00"（支持秒级，空格不能省）
• 组合使用：--since "today 09:00" --until "12:00" 表示今天上午九点到中午十二点

提示：加 --utc 可强制按 UTC 时间解析，避免本地时区干扰。

优先级与内容搜索配合使用

先用 -p 缩小严重程度范围，再用 --grep 定位关键词，效率更高：

• -p 3：只显示 err 级别及以上（0=emerg → 7=debug）
• --grep="timeout"：在消息体中正则匹配，不区分大小写
• --grep="Connection refused" --case-sensitive=yes：开启大小写敏感
• 组合示例：journalctl -u api.service -p 3 --grep="500"

注意：--grep 只作用于 MESSAGE 字段，不影响元数据字段；若需排除某类日志，可用 grep -v 二次过滤。