可用journalctl的--since和--until选项按时间范围导出日志，支持自然语言或ISO 8601格式，配合重定向保存至文件，并推荐使用-o short-iso、--no-hostname等选项提升可读性与实用性。
可以用 journalctl 的时间过滤选项配合重定向，直接导出指定时间段的日志到文件。
用 --since 和 --until 指定时间范围
这是最常用、最准确的方式。支持自然语言（如 "1 hour ago"）或标准时间格式（ISO 8601）。
-
导出最近一小时日志：
journalctl --since "1 hour ago" > last_hour.log -
导出今天凌晨至今：
journalctl --since "today" > today.log -
导出某一天的完整日志：
journalctl --since "2024-05-20 00:00:00" --until "2024-05-21 00:00:00" > may20.log -
导出过去24小时（精确到秒）：
journalctl --since "$(date -d '24 hours ago' '+%Y-%m-%d %H:%M:%S')" > last_24h.log
注意时区和时间精度
journalctl 默认使用系统本地时区，所有时间参数也按本地时区解析。如果系统时区非 UTC，但你想按 UTC 时间查，需加 --utc 选项：
journalctl --utc --since "2024-05-20T00:00:00Z" --until "2024-05-20T23:59:59Z" > utc_may20.log
时间字符串中空格建议用引号包裹，避免 shell 解析错误；ISO 格式推荐用 T 分隔日期和时间（如 2024-05-20T14:30:00），更可靠。
附加实用选项提升可读性与实用性
导出时建议加上以下选项，让日志更易读或更适合分析：
-
-o short-iso：使用 ISO 8601 格式输出时间戳（如2024-05-20T14:30:22.123456+0800） -
--no-hostname：去掉主机名字段，减少冗余（适合多机统一处理） -
-n all：确保不截断行（默认可能限制行长度） -
--all：包含二进制/不可打印字段（调试时有用） - 组合示例：
journalctl -o short-iso --no-hostname --since "2024-05-20" --until "2024-05-21" > clean_may20.log
验证导出内容是否符合预期
导出前可先不重定向，用 head/tail 快速预览：
journalctl --since "2024-05-20" --until "2024-05-21" | head -n 5-
journalctl --since "2024-05-20" --until "2024-05-21" | wc -l查看总行数
导出后可用 less 或 grep 检查关键服务或错误：grep -i "failed\|error" may20.log
