最直接方式是用 journalctl _PID=12345 过滤该进程发出的日志；若属 systemd 服务，优先用 journalctl -u servicename.service 查全生命周期日志；还可结合 --boot、_COMM、_EXE 等字段精准定位，并用 jq 解析 JSON 日志增强灵活性。
要查看特定进程 PID 的所有相关日志，最直接的方式是用 journalctl 结合 -u（服务名）或 _PID 字段过滤，但注意：journalctl 本身不支持“实时追踪某个 PID 生命周期内的全部日志”，因为 PID 是动态分配的，且 journal 只记录日志时的上下文，不自动关联父子进程或生命周期。不过可以通过以下几种可靠方式逼近目标：
用 _PID= 过滤当前已知 PID 的日志行
这是最常用、最准确的方法——前提是该 PID 当前仍在运行，或你已知它曾经输出过日志，并且 journal 未被轮转清除。
- 执行：
journalctl _PID=12345（替换 12345 为实际 PID） - 可加选项增强可读性：
journalctl -n 100 _PID=12345 -o short-precise（显示最近 100 行，带毫秒时间戳） - 注意：
_PID=匹配的是日志条目中记录的 PID 字段，即该条日志由该 PID 进程发出；但不会显示该进程启动前/退出后、或由其子进程（不同 PID）产生的日志
结合服务名（Unit）查整个服务生命周期日志
如果该 PID 属于一个 systemd 服务（如 nginx、redis），推荐优先用服务名查询，覆盖更全：
-
journalctl -u nginx.service— 查该服务所有实例日志（含多次启停） -
journalctl -u nginx.service --since "2024-05-01"— 限定时间范围 - 若服务启用
LogRateLimitIntervalSec或日志被截断，可搭配--all显示完整字段（包括 _PID、_COMM、_EXE）
查某次启动中该进程及其子进程的上下文
systemd 日志按 boot 和 unit 划分。若知道该 PID 出现在哪次启动中，可用：
-
journalctl --boot=-0 _PID=12345（-0表示最近一次启动） - 再配合
_COMM=nginx或_EXE=/usr/bin/nginx扩展匹配，避免同 PID 被复用导致误匹配 - 用
journalctl -o json | jq 'select(.PID=="12345")'可做更灵活的 JSON 解析（需安装 jq）
补充技巧：反向查找 PID 来源
有时你只有日志片段，想确认对应 PID，可先搜索关键词再提取 PID：
-
journalctl | grep "connection refused" | head -5— 找到典型错误行 - 观察输出中的 _PID= 字段（通常在行尾附近，如
_PID=8923） - 复制该 PID，再执行
journalctl _PID=8923查完整上下文
