Linux系统日志主要位于/var/log目录，systemd系统需用journalctl查看二进制日志，非systemd系统则直接读取syslog、messages等文本文件；可结合ls、find、locate命令精准定位。
Linux 系统日志文件主要集中在 /var/log 目录下，但具体路径因发行版和日志管理机制不同而略有差异。直接定位比盲目搜索更高效，下面提供几种实用方法。
看发行版和日志系统类型
先确认系统是否使用 systemd（绝大多数现代发行版如 Ubuntu 22.04+、CentOS 7+、Debian 10+ 都是），这决定你该查文本文件还是用 journalctl：
- systemd 系统：日志默认以二进制形式由 journald 管理，不自动写入 /var/log/ 下的文本文件；需运行 journalctl --disk-usage 查看是否已启用持久化存储
- 非 systemd 或传统模式：日志明确落盘在 /var/log/，常见文件包括：
• Ubuntu/Debian：/var/log/syslog、/var/log/auth.log
• CentOS/RHEL：/var/log/messages、/var/log/secure
快速列出核心日志文件
执行以下命令，直接看到最常被查阅的几个日志路径：
- ls -lh /var/log/{syslog,messages,auth.log,secure,kern.log,dmesg,boot.log,cron}
- 如果提示“没有那个文件”，说明该发行版不用此名——例如 CentOS 不会生成 syslog，Ubuntu 不会生成 messages
- 加 2>/dev/null 可忽略报错，只显示存在的文件：
ls -lh /var/log/{syslog,messages,auth.log,secure} 2>/dev/null
按服务或应用找日志目录
很多服务把日志放在自己专属子目录中，无需猜路径，可直接检查：
- Web 服务：ls /var/log/nginx/、ls /var/log/apache2/ 或 ls /var/log/httpd/
- 数据库：ls /var/log/mysql/、ls /var/log/postgresql/
- 容器运行时：ls /var/log/pods/（Kubernetes）、ls /var/log/containers/
- 若服务使用 systemd 管理，也可用 systemctl show -p LogsDirectory sshd 查其声明的日志目录（部分服务支持）
不确定时用 find 或 locate 辅助定位
当项目日志不在标准位置，或你怀疑被自定义配置到别处，可用以下方式扫描：
- 按扩展名找最近修改的日志：find /var -name "*.log" -type f -mtime -7 2>/dev/null | head -20
- 按关键词搜索路径（适合已知日志名）：sudo find / -path "/var/log/*" -name "*error*" 2>/dev/null
- 若已启用 locate 数据库：sudo updatedb && locate -i "access.log\|error.log\|app.log"
