journalctl 实时日志过滤聚焦时间、服务、优先级三维度，直接读取 systemd 结构化日志总线，支持按单元名、优先级、时间段及字段组合精准筛选，提升排查效率。
journalctl 实时日志过滤不是“看全所有日志”，而是用时间、服务、优先级三个维度快速聚焦关键信息。它直接读取 systemd 的结构化日志总线，每条记录自带时间戳、单元名、PID、优先级等字段——你是在查数据，不是翻文件。
按服务实时追踪，跳过路径猜测
不用再找 /var/log/nginx/error.log，直接按 systemd 单元名过滤：
- 实时盯住 nginx：`journalctl -u nginx.service -f`（
.service后缀建议保留，确保稳定匹配） - 同时观察多个关联服务：`journalctl -u app.service -u postgresql.service -f`
- 查 ssh 登录异常：`journalctl -u sshd.service -f`，配合
_COMM=sshd可进一步限定子进程日志
用优先级筛出真正要处理的日志
info 级别日志常淹没关键线索，-p 参数帮你只看该关心的级别（0=emerg，3=err，4=warning）：
- 只显示错误及以上（err/crit/alert/emerg）：`journalctl -p 3` 或 `journalctl -p err`
- 把 warning 也纳入排查范围：`journalctl -p 4` 或 `journalctl -p warning..err`
- 组合使用更高效：`journalctl -u docker.service -p 3 --since "30 min ago" -f`
锁定时间窗口，避免滚动上千行
故障通常发生在明确时间段内，用 --since 和 --until 精准切片：
- 最近 15 分钟所有错误：`journalctl --since "15 minutes ago" -p err`
- 精确到秒的时间段：`journalctl --since "2026-07-06 14:22:00" --until "2026-07-06 14:28:00"`
- 结合重启节点定位：`journalctl -b -1 -u kubelet.service -p 2`（上一次启动中 kubelet 的 crit 级日志）
多条件叠加还原真实现场
单一过滤不够时，用结构化字段交叉验证：
- 查某次崩溃前 5 分钟内该进程的所有行为：`journalctl _PID=2891 --since "5 min ago"`
- 定位某个程序名（非服务名）的日志：`journalctl _COMM=sudo` 或 `_COMM=kernel`
- 服务 + 错误 + 时间三重锁定：`journalctl -u php-fpm.service -p 3 --since "1 hour ago"`
默认分页下按 / 可搜索关键词；加 --no-pager 更适合管道处理，比如 journalctl -u nginx.service --no-pager | grep -i "502\|timeout"。真正高效的日志排查，是每次执行都带着明确目标，而不是盲目滚动。
