journalctl 是 systemd 日志的结构化查询工具，支持按服务单元、优先级、时间窗口及进程等元数据精准过滤，替代传统 tail -f 的路径式日志查看方式。
journalctl 不是 tail -f 的替代品，而是日志分析维度的升级。它直接对接 systemd 的结构化日志总线，每条记录自带时间戳、服务单元名、进程 ID、优先级、主机名等元数据——这意味着你不是在“读文件”，而是在“查数据库”。
按服务精准追踪，告别路径猜解
传统方式要先找 nginx 日志在哪（/var/log/nginx/error.log？access.log？），再用 tail -f。journalctl 直接按 systemd 单元名过滤：
- 实时盯住一个服务：`journalctl -f -u nginx.service`
- 同时监控多个关联服务：`journalctl -f -u app.service -u postgresql.service -u redis.service`
- 服务名可省略 .service 后缀：`journalctl -u sshd` 和 `journalctl -u sshd.service` 效果一致
用优先级筛出真正该关心的日志
生产环境里 info 级日志可能每秒几十条，但 error 以上才是关键信号。journalctl 内置 0–7 级优先级，常用组合：
- 只看错误和严重警告：`journalctl -p err..warning`（注意是两个点，范围包含两端）
- 仅显示紧急事件（emerg 到 crit）：`journalctl -p 0..2` 或 `journalctl -p emerg..crit`
- 排除 info 及以下，聚焦问题线索：`journalctl -p 0..3`（即 emerg/alert/crit/err）
锁定时间窗口，避免信息过载
故障发生时间已知？不用滚动几千行，直接切片：
- 最近 15 分钟内所有错误：`journalctl --since "15 minutes ago" -p err`
- 精确到分钟的时间段：`journalctl --since "2026-06-14 13:20:00" --until "2026-06-14 13:35:00"`
- 配合服务与时间双过滤：`journalctl -u docker.service --since "1 hour ago" -p warning`
结合结构化字段做深度定位
当错误反复出现，光看 MESSAGE 不够，需查上下文：
- 查某个进程产生的全部日志：`journalctl _PID=1892`（PID 来自 systemctl status 或 ps）
- 查某用户启动的服务日志：`journalctl _UID=1001`
- 查某台主机上的特定服务：`journalctl _HOSTNAME=web-prod-02 -u nginx`
- 组合多条件更准：`journalctl _SYSTEMD_UNIT=app.service _PID=2456 PRIORITY=3`
不复杂但容易忽略：journalctl 默认分页，按 / 可搜索关键词；加 --no-pager 配合 grep 更适合管道处理；导出 JSON 用 `-o json`，便于脚本解析。真正高效，不在命令多，而在每次过滤都带明确目标。
