journalctl 的核心优势是利用结构化元数据精准过滤：用 -u 按服务单元聚焦，用 _pid/_comm/_uid 等字段做进程级定位，支持自然语言时间表达，结合 -p 和 --grep 可高效筛选优先级与关键词。
journalctl 的过滤能力远不止 tail -f 那样简单。它的核心优势在于利用结构化元数据做精准匹配，而不是在纯文本里硬搜。写好一个查询式，关键不是堆参数，而是理解字段含义、组合逻辑和时间表达的自然性。
按服务单元精准聚焦
用 -u（或 --unit）是最直接的方式，它匹配 systemd 管理的服务名，比如：
-
journalctl -u nginx.service—— 查 nginx 主服务日志 -
journalctl -u sshd.service -u docker.service—— 同时查多个服务，等价于“OR”逻辑 -
journalctl -u "docker*"—— 支持通配符，匹配 docker.socket、docker.service 等
注意：服务名必须带 .service 后缀（除非是 socket、timer 等其他类型），不加后缀可能查不到。
用元数据字段做进程级定位
systemd 日志每条记录都自带字段，这些字段可直接作为过滤条件，无需解析日志内容：
-
_PID=1234：锁定某个进程 ID 的全部日志（适合调试单次运行脚本） -
_COMM=python3：匹配执行命令名（比_EXE更稳定，不受路径影响） -
_UID=1000：限定用户，_UID=$(id -u)可快速查当前用户启动的服务 -
_SYSTEMD_UNIT=myapp.service：比-u更底层，适用于字段缺失时的兜底匹配
多个字段同时使用即为“AND”关系，例如：journalctl _COMM=node _UID=1001 --since "1 hour ago"。
时间范围要写得像人话
journalctl 支持自然语言式时间表达，避免手算时间戳：
- 相对时间：
--since "5 min ago"、--until "30 sec ago" - 日期锚点：
--since today、--since yesterday、--since "last week" - 绝对时间：
--since "2026-06-08 14:00"（支持秒级，空格不能省） - 组合使用：
--since "today 09:00" --until "12:00"表示今天上午九点到中午十二点
提示：加 --utc 可强制按 UTC 时间解析，避免本地时区干扰。
优先级与内容搜索配合使用
先用 -p 缩小严重程度范围，再用 --grep 定位关键词，效率更高：
-
-p 3：只显示 err 级别及以上（0=emerg → 7=debug） -
--grep="timeout"：在消息体中正则匹配，不区分大小写 -
--grep="Connection refused" --case-sensitive=yes：开启大小写敏感 - 组合示例：
journalctl -u api.service -p 3 --grep="500"
注意：--grep 只作用于 MESSAGE 字段，不影响元数据字段；若需排除某类日志，可用 grep -v 二次过滤。
