journalctl查不到最新日志的主因是服务未由systemd管理、未启用日志持久化或未加-f实时跟踪；需先用systemctl确认服务状态，启用/var/log/journal持久化，并使用-f和--since组合过滤。
journalctl 查不到最新日志？先确认服务是否用 systemd 管理
很多用户执行 journalctl -u nginx 却看不到任何输出，最常见原因是该服务根本没用 systemd 启动——比如手动运行的 nginx 进程、或通过 Docker 容器启动的实例，journalctl 对它们完全不可见。
判断方法很简单：systemctl list-units --type=service | grep nginx。如果没结果，或者状态是 inactive (dead)，那说明它不在 systemd 控制下。
- 只有被
systemctl start启动的服务，其 stdout/stderr 才会被 journald 自动捕获 - 手动启动的进程（如
/usr/sbin/nginx）默认不接入 systemd 日志系统，除非加--systemd参数（极少见） - Docker 容器日志走的是
docker logs，不是journalctl；除非容器以--log-driver=journald启动
想看实时日志却卡住？别忘了加 -f 和 --since
journalctl -u sshd 默认只显示历史日志，且从最旧的开始刷，容易误以为“没日志”。真正查问题时，90% 场景需要的是“现在正在发生的”。
- 加
-f实现实时跟踪，类似tail -f：journalctl -u sshd -f - 加
--since "2 minutes ago"或--since today快速过滤掉大量陈旧记录 - 组合使用更高效：
journalctl -u nginx -f --since "1 hour ago" - 注意：如果机器刚重启过，
--since yesterday可能返回空——因为日志可能没持久化到磁盘（见下一条）
重启后日志没了？检查 /var/log/journal 是否存在且可写
journalctl 默认只在内存中缓存日志（volatile），重启后清空。要保留历史记录，必须启用持久存储。
- 检查目录：
ls /var/log/journal/—— 如果不存在，说明没启用持久化 - 启用方法：创建目录并赋权：
sudo mkdir -p /var/log/journal，然后sudo systemd-tmpfiles --create --prefix /var/log/journal - 验证是否生效：
sudo journalctl --disk-usage应该显示非零值；journalctl --list-boots能看到多条启动记录 - 注意：某些最小化发行版（如 Alpine 的 systemd 镜像）默认禁用持久化，且
/var/log/journal目录甚至不会自动创建
日志太多查太慢？用 _PID、_COMM 或优先级快速过滤
直接 journalctl 全局查，尤其在高负载服务器上，可能卡几秒甚至超时。关键是要缩小范围，而不是靠翻页。
- 按进程 ID 过滤：
journalctl _PID=1234（适合已知出问题的进程） - 按命令名过滤：
journalctl _COMM=sshd比-u sshd更细粒度（能抓到 sshd 的子进程日志） - 按日志级别（priority）：
journalctl -p err只看错误；-p warning看警告；-p 3是等价写法（3 = err） - 组合过滤很实用：
journalctl -u docker -p err --since today直接定位今天 Docker 的报错
-f。很多人反复执行 journalctl -u xxx，看着空屏怀疑人生，其实只是日志早被刷走了，或者压根没进 journald。
