使用 journalctl --no-pager --all > journal.log 可导出完整可读纯文本日志；支持时间范围、服务单元、日志级别及进程 ID 过滤，并需 sudo 权限和 --all 选项确保字段完整。
直接用 journalctl 的输出重定向或管道配合 --no-pager 和 --all 选项即可导出完整、可读的纯文本日志，无需额外工具或复杂转换。
基础导出命令（推荐）
最常用且可靠的方式是禁用分页器、强制全量输出，并重定向到文件：
-
journalctl --no-pager --all > journal.log—— 导出全部日志（含二进制字段如_COMM、_PID等，但以可读文本形式显示） -
journalctl --no-pager --all --output=short-iso > journal.log—— 带 ISO 格式时间戳，更利于排序和排查 -
journalctl --no-pager -o short-precise > journal.log—— 包含微秒级时间精度，适合性能分析
按时间范围导出（避免文件过大）
生产环境日志量大，建议限定时间段导出：
journalctl --no-pager --since "2024-05-01 00:00:00" --until "2024-05-02 00:00:00" > journal-may01.logjournalctl --no-pager --since "2 hours ago" > recent.log- 支持自然语言（如
yesterday、1 week ago），也支持精确到秒的 ISO 时间
过滤后导出（保留关键信息）
若只需特定服务或单位的日志，先过滤再导出更高效：
-
journalctl --no-pager -u sshd --since today > sshd-today.log—— 只导出sshd单元今日日志 -
journalctl --no-pager -p err --since "1 day ago" > errors.log—— 只导出过去 24 小时的错误级别日志 -
journalctl --no-pager _PID=1234 > pid1234.log—— 按进程 ID 过滤（适用于调试某个进程）
注意事项与常见问题
导出时需注意权限和格式细节，否则可能缺内容或乱码：
- 普通用户默认只能查看自己的日志；导出系统级日志（如内核、systemd）需加
sudo：sudo journalctl --no-pager --all > full.log -
--all是关键：它确保显示所有字段（包括被截断的长消息、隐藏的元数据），否则部分字段（如MESSAGE超长时）会被省略 - 避免使用
--output=json或json-pretty直接重定向——那是结构化格式，不是纯文本；如需后续解析，可先导出为 JSON 再用jq提取字段 - 日志可能包含 ANSI 颜色控制字符（尤其在终端中启用颜色时），加
--no-color可彻底去除：journalctl --no-pager --no-color --all > clean.log
