journalctl 必须用 --since 和 --until 组合限定时间范围，--until 需显式指定精确时间，时区默认本地时间；导出需加 --output=short-iso 避免乱码；应配合 -u 或 --identifier 过滤服务以防止日志爆炸；时间精度仅到秒，毫秒无效。
用 journalctl --since 和 --until 限定时间范围
Systemd 日志本身不按文件分割，而是统一由 journald 管理，所以不能靠找日志文件来筛选——必须用 journalctl 的时间参数。最直接的方式就是组合 --since 和 --until：
-
--since="2024-05-20 14:00:00"支持完整时间戳、相对时间（如"2 hours ago"）、日期（"2024-05-20"） -
--until必须显式指定，否则默认到当前时间；它不接受模糊表达，比如"today"会报错，得写成"2024-05-20 23:59:59" - 时区以系统本地时间为基准，不是 UTC，除非你加了
--utc参数（此时--since也需按 UTC 解读）
示例：导出今天上午 9 点到下午 5 点的日志：
journalctl --since="2024-05-20 09:00:00" --until="2024-05-20 17:00:00"
导出为文件时注意 --output=short-iso 和编码问题
直接重定向（> logs.txt）看似简单，但默认输出含 ANSI 颜色控制符和二进制元数据，导致文件不可读或乱码。必须显式指定纯文本格式：
- 优先用
--output=short-iso：时间格式统一、无颜色、兼容性好，适合归档和后续 grep - 避免
--output=json直接重定向——它每行是 JSON 对象，但字段名含 Unicode、值可能有换行，普通文本工具难处理 - 如果日志里有中文或特殊字符，确保终端 locale 是 UTF-8（
locale | grep UTF查看），否则journalctl可能截断或替换为?
安全导出示例：
Effector Ecosystem
下载
用于设计、审查、生成或重构使用Effector、effector-react、Farfetched、AtomicRouter、@effector/next等库的React应用。
journalctl --since="2024-05-20" --until="2024-05-20 23:59:59" --output=short-iso > system-20240520.log
按服务或单元过滤再导出，避免日志爆炸
全系统日志动辄几百 MB，不加过滤直接导出会卡住终端、占满磁盘缓存。务必结合 -u 或 --identifier 缩小范围：
-
-u sshd.service只取指定服务单元，注意后缀.service不能省（sshd不生效） -
--identifier=kernel匹配syslog标识符，适合抓内核消息；--identifier=systemd抓journald自身行为 - 多个
-u可叠加，比如-u nginx.service -u php-fpm.service，但不能混用-u和--identifier
典型运维场景命令：
journalctl -u docker.service --since="1 hour ago" --output=short-iso > docker-recent.log
时间精度坑：秒级不准，--since 实际向下取整到秒
journalctl 的时间解析不支持毫秒或微秒，且 --since 行为是“>= 起始时间”，但内部会把输入时间强制对齐到秒级边界。这意味着：
- 写
--since="2024-05-20 10:00:00.123"和--since="2024-05-20 10:00:00"效果完全一样 - 如果某条日志精确发生在
10:00:00.999，它会被包含；但10:00:00.001也会被包含——没有“从第 1 毫秒开始”的语义 - 真正想卡死起点？只能靠导出后用
awk或sed二次过滤第一列时间字段，但代价是多一次全量扫描
所以别指望靠毫秒级参数做精确切片，时间范围宁可略宽，再人工筛。
