Linux系统之journalctl 命令详解

journalctl - 查询 systemd 日志
用于读取、过滤和显示由 systemd-journald.service 记录的系统日志。

• 功能：
  journalctl 是 systemd 提供的系统日志查看工具，支持按时间、优先级、单元（unit）、启动记录等条件过滤日志。默认输出从最早的日志条目开始，按时间顺序排列。
• 日志来源：
  可访问系统日志（/var/log/journal/）和用户日志（~/.local/share/systemd/journal/），支持跨文件、旋转日志和实时日志的整合输出。
• 权限要求：
  • 普通用户默认只能访问自己的用户日志。
  • 系统日志和他人的日志需 root 权限，或属于 systemd-journal、adm、wheel 等特权组。

基本语法

journalctl [OPTIONS...] [MATCHES...]

核心选项

1. 输出控制

• short（默认）：类似 syslog 格式。
• short-iso：ISO 8601 时间戳。
• json/json-pretty：JSON 格式。
• cat：仅显示消息内容（无元数据）。
• export：二进制备份格式。

2. 时间与启动记录

3. 过滤条件

4. 其他功能

常见示例

1. 基础用法

journalctl
# 查看全部系统日志（从最早到最近）

2. 实时跟踪

journalctl -f
# 实时监控新日志（类似 tail -f /var/log/messages）

3. 查看当前启动日志

journalctl -b
# 显示当前启动的所有日志

4. 查看上一次启动日志

journalctl -b -1
# 显示上一次启动的日志

5. 按单元过滤

journalctl -u nginx.service
# 显示 nginx 服务相关的日志

6. 按优先级过滤

journalctl -p 3
# 显示日志级别为 3（ERROR）及以上的条目

7. 自定义字段匹配

journalctl _SYSTEMD_UNIT=sshd.service _PID=1234
# 显示 sshd 服务且进程 ID 为 1234 的日志

8. 倒序输出

journalctl -r
# 从最新日志开始显示

9. JSON 格式输出

journalctl -o json
# 以 JSON 格式显示日志（适合脚本解析）

10. 仅显示消息内容

journalctl -o cat
# 仅显示日志消息，无元数据

11. 列出所有启动记录

journalctl --list-boots
# 显示所有启动记录及其 Boot ID

12. 查看内核日志

journalctl -k
# 显示内核日志（dmesg 替代方案）

注意事项

1. 权限问题：
   • 普通用户无法访问系统日志或他人的用户日志。
   • 使用 sudo 或加入 systemd-journal 组可获取权限。
2. 日志保留策略：
   • 默认日志存储在 /var/log/journal/，空间不足时会自动清理旧日志。
   • 可通过 journald.conf 调整保留时长（Storage=, MaxUse=）。
3. 性能优化：
   • 大量日志查询时，避免使用 --list-boots 或 --reverse 以减少延迟。
4. 分页器控制：
   • 默认使用 less 分页，可通过 --no-pager 禁用。
   • 长行可通过左右箭头键滚动查看。
5. 时间格式：
   • --utc 强制使用 UTC 时间，避免时区干扰。
6. 日志导出：
   • 使用 --output=export 导出为二进制格式，适合备份或传输。

相关命令

• 查看日志大小：

  journalctl --disk-usage
  

• 清理日志：

  journalctl --vacuum-size=1G
  # 保留最近 1GB 的日志
  

• 结合其他工具：

  journalctl -u sshd.service | grep "Failed"
  # 过滤 sshd 服务的失败登录记录