Linux日志记录模式由实际启用的日志系统（如journald或rsyslog）及其具体配置共同决定：journald行为取决于/etc/systemd/journald.conf中Storage、ForwardToSyslog等参数；rsyslog行为则由/etc/rsyslog.conf及/etc/rsyslog.d/下规则定义的输入模块、过滤条件和模板共同控制。
Linux日志记录模式由什么决定？
Linux本身没有统一的“日志记录模式”这个配置项，实际生效的是日志系统（如 rsyslog、syslog-ng 或 systemd 的 journald）各自的规则和配置。你看到的日志内容、格式、保存位置、轮转方式，全取决于当前系统启用的是哪个日志服务，以及它加载了哪些配置。
先确认用的是哪个日志系统：ps -p 1 -o comm= 看 init 进程，若输出 systemd，大概率用 journald；
再运行 systemctl list-units --type=service | grep -E "(rsyslog|syslog-ng|journal)" 查看活跃服务。
怎么查 journald 的日志行为？
journald 默认把日志存在内存+磁盘（取决于配置），不落地为传统文本文件，所以不能直接 cat /var/log/messages 找到全部。
关键命令和配置点：
-
journalctl --no-pager -o verbose：看一条日志的完整字段（含_TRANSPORT、PRIORITY、SYSLOG_IDENTIFIER），能判断来源和结构 -
cat /etc/systemd/journald.conf：重点看Storage=（volatile/persistent/auto）、ForwardToSyslog=（是否转发给 rsyslog）、MaxFileSec=（单文件保留时长） -
journalctl --disk-usage：确认日志是否真正写入磁盘（Storage=persistent且/var/log/journal/存在才计入）
怎么查 rsyslog 的日志规则？
rsyslog 的“模式”体现在配置文件中，不是全局开关。它的行为由 /etc/rsyslog.conf 和 /etc/rsyslog.d/*.conf 共同定义。
重点关注三类配置：
-
输入模块：比如
module(load="imuxsock")（接收本地 syslog 调用）、module(load="imjournal")（从 journald 读取）——决定日志从哪来 -
过滤规则：像
*.* /var/log/messages或if $programname == 'sshd' then /var/log/sshd.log——决定日志去哪、按什么条件分发 -
模板定义：如
$template MyFormat,"%timegenerated% %hostname% %syslogtag% %msg%\n"+*.* ?MyFormat——决定每条日志长什么样
改完配置必须 systemctl restart rsyslog，否则不生效。
常见混淆点和坑
很多人以为 /var/log/messages 是“标准输出”，其实它只是 rsyslog 默认写的一个文件，journald 根本不生成它；反过来，journalctl 查不到 rsyslog 自己产生的日志（比如解析失败警告），因为那些是 rsyslog 进程内部日志，没走 syslog 接口。
- 同时启用
journald和rsyslog时，imjournal模块可能重复采集，导致日志翻倍——检查rsyslog.conf是否启用了该模块 -
rsyslog的$ActionFileDefaultTemplate只影响未显式指定模板的规则，容易被忽略 -
journalctl -u nginx查不到日志？确认 nginx 是用 systemd 启动的（systemctl status nginx），且没加StandardOutput=null这类重定向
日志“模式”的实质是多个组件的协作链条，而不是一个开关。真正要调的，永远是具体服务的输入源、过滤逻辑和输出目标，而不是找一个叫“日志模式”的配置项。
