journalctl -f 可实时追踪 systemd 日志，支持按服务（-u）、进程（_pid）、命令（_comm）过滤，配合 -o、-n、grep 等提升可读性，需 sudo 查看系统级日志并配置持久存储以防丢失。
用 journalctl -f 就能实时追踪最新日志，类似 tail -f 的效果，但专为 systemd 日志设计，支持过滤、格式化和权限集成。
基础实时跟踪命令
最常用且最直接的方式：
-
journalctl -f：持续输出所有服务的最新日志，按时间倒序追加 -
journalctl -f -u sshd：只跟踪sshd服务的实时日志 -
journalctl -f --since "2 minutes ago"：从 2 分钟前开始实时跟踪（避免刷屏历史）
按服务或进程精准过滤
日常排查时通常不需要看全部日志，聚焦目标更高效：
-
journalctl -f -u nginx或journalctl -f -u docker.service：监控指定单元（service） -
journalctl -f _PID=1234：跟踪特定进程 ID 的日志（需先查 PID，如ps aux | grep nginx） -
journalctl -f _COMM=bash：只看所有 bash 进程产生的日志
增强可读性与实用性技巧
默认输出可能信息过密，加些参数提升体验：
-
journalctl -f -o short-iso：用 ISO 时间格式（如2024-05-20 14:23:05），更易读 -
journalctl -f -n 20：先显示最近 20 行，再进入实时模式（避免错过刚发生的事件） -
journalctl -f | grep -i "error\|fail"：管道过滤关键词（注意：会丢失颜色和部分元数据，适合快速筛查） -
journalctl -f --all：显示包括二进制/不可打印字符在内的完整字段（调试特殊应用时有用）
权限与常见问题
普通用户运行 journalctl 可能看不到系统级日志：
- 查看全部日志需
sudo journalctl -f（尤其涉及 kernel、systemd、其他用户服务时） - 若提示
No journal files were found，检查是否启用了持久日志：sudo mkdir -p /var/log/journal，然后重启systemd-journald - 日志滚动后旧内容消失？默认只保留内存+临时磁盘日志；启用持久存储后，日志会写入
/var/log/journal/并受/etc/systemd/journald.conf中SystemMaxUse=等参数控制
