JSON格式最适合编程分析，因其字段完整、无换行、可直接被jq或Python消费；short-iso等格式则更利于人工快速定位。
journalctl 输出格式选 JSON 最适合编程分析，字段化展示（如 short-iso、verbose）更适合人工快速定位。关键不是追求“最全”，而是匹配使用场景：机器处理要结构，人眼查看要清晰。
JSON 格式：为脚本和平台对接而生
用 journalctl -o json 输出每行一个标准 JSON 对象，字段完整、无换行、可直接被 jq、Python 或日志平台消费。它自带时间戳（__REALTIME_TIMESTAMP）、服务名（_SYSTEMD_UNIT 或 SYSLOG_IDENTIFIER）、优先级（PRIORITY）、主机名（_HOSTNAME）等元数据，无需额外解析就能提取关键维度。
- 实时流式采集：加 -f 可持续输出，配合管道做实时告警，例如
journalctl -u nginx -f -o json | jq -r 'select(.PRIORITY - 避免用 json-pretty 做自动化——它带缩进和换行，破坏流式解析；仅用于临时人工查读
- 导出归档时若需保留游标或二进制内容，改用 -o export，但普通分析不需它
字段化展示：让信息一眼可读
short-iso 是人工查看的最优平衡点：时间统一为 ISO 8601（如 2026-07-08 02:45:12），时区明确，字段对齐，grep/awk 处理也友好。verbose 虽字段最全，但信息过载；cat 过于简略，丢失上下文。
- 查问题时优先用 journalctl -u sshd --since "30 min ago" -o short-iso，时间准、服务清、无干扰
- 需要确认某条日志归属哪个启动周期，加 -b 参数，再配 short-iso 更易比对
- 别依赖默认 short 格式——它的本地时间显示受系统时区影响，跨机器比对容易出错
字段提取技巧：避开常见陷阱
JSON 模式下字段是动态存在的，比如 _SYSTEMD_UNIT 在用户服务中可能为空，而 SYSLOG_IDENTIFIER 更稳定；__REALTIME_TIMESTAMP 是微秒整数，不是字符串，用 jq 转时间需先除以 1000000 再格式化。
- 安全取字段：用
.FIELD // "N/A"防止空值中断管道 - 时间转可读格式示例：
jq -r '.__REALTIME_TIMESTAMP | tonumber / 1000000 | strftime("%Y-%m-%d %H:%M:%S")' - 过滤错误日志别只靠 MESSAGE 含 “error” 字样，优先用 -p err 或
select(.PRIORITY ，更准确可靠
