journalctl是systemd系统排查问题最直接、最权威的日志入口，支持按启动会话（-b）、服务单元（-u）、优先级（-p）、时间范围（--since）、关键词（-g）及输出格式（-o）精准过滤和导出结构化日志。

journalctl 是 systemd 系统中排查问题最直接、最权威的日志入口。它不是辅助手段，而是生产环境故障定位的第一现场——所有服务启动失败、进程崩溃、依赖未就绪、权限被拦截，都会原样记录在时间线里，带优先级、单元名和结构化字段。

按启动会话精准回溯问题源头

服务没起来？脚本没执行？别猜，先看本次开机发生了什么。journalctl -b 直接输出当前 boot 的完整日志流，从内核加载、unit 启动顺序到你的 service 退出码，一气呵成。

• 加 -n 20 只看最后20行，快速聚焦失败瞬间：journalctl -b -n 20
• 查上一次启动（比如重启后问题复现）：journalctl -b -1
• 列出所有历史启动记录，确认目标 boot ID：journalctl --list-boots

锁定服务 + 错误级别，秒级过滤噪音

在几十万行日志里人工扫 error？效率低还易漏。用 -u 和 -p 组合，让 journalctl 主动筛出关键信息。

• 只看 nginx 的错误及以上（err/crit/alert/emerg）：journalctl -u nginx -p err
• 同时监控 Web 层与数据库异常：journalctl -u nginx -u postgresql -p err -f
• 查某个服务最近1小时的 warning 和 error：journalctl -u app.service -p warning --since "1 hour ago"

关键词+正则，穿透日志内容层

有些问题不会打 err 标签，但会在 MESSAGE 字段留下线索，比如 “timeout”、“permission denied”、“connection refused”。-g 参数专为此设计。

• 不区分大小写搜失败关键词：journalctl -u sshd -g "fail|denied|refused"
• 匹配带数字的报错模式（如端口被占）：journalctl -g "Address already in use.*:8080"
• 配合 -f 实时捕获新出现的异常消息：journalctl -u myapp -g "panic\|segfault" -f

导出结构化日志，支持协作与分析

把终端截图发给同事？不如导出可解析的日志。避免重定向丢失元数据，用 -o 显式指定格式。

• 导出为每行一个 JSON 对象，方便脚本或 ELK 处理：journalctl -u docker --since "24 hours ago" -o json
• 生成带 ISO 时间戳的可读文本：journalctl -b -n 100 -o short-iso
• 导出前检查磁盘用量，防止撑爆根分区：journalctl --disk-usage

journalctl 的能力不在命令多，而在每个参数都直击运维痛点：时间可溯、服务可定、级别可筛、内容可搜、输出可控。用熟这四类组合，排查不再靠翻页和猜测。