journalctl 实时过滤并高亮错误日志需组合优先级过滤（如 -p 3）、服务/内核限定（-u/-k）、管道 grep 着色（--color=always + --line-buffered）及格式优化（-o short-precise、--all、_SYSTEMD_UNIT= 字段），并确保终端支持 ANSI 颜色。
用 journalctl 实时过滤并高亮显示错误日志，关键在于组合时间跟踪、优先级过滤和终端着色能力。它不是靠 journalctl 自带“高亮”开关实现的，而是通过管道配合 grep --color=always 或利用 journalctl 内置的 --priority 与 --output=short-with-syslog 等格式增强可读性。
只看错误级别（err 及以上）的实时日志
journalctl 原生支持按日志优先级过滤，错误（err）、严重（crit）、告警（alert）、紧急（emerg）对应数字 3–0。最常用的是 -p 3（即 err 和更高级别）：
-
journalctl -p 3 -f—— 实时滚动显示所有 err 及以上级别的日志（含内核、服务、系统组件） -
journalctl -u nginx -p 3 -f—— 仅实时跟踪 nginx 服务的错误日志 -
journalctl -k -p 3 -f—— 仅实时跟踪内核错误（-k 等价于 --dmesg）
用 grep 高亮匹配关键词（如 “error”、“fail”、“exception”）
journalctl 输出是标准文本流，可直接用 grep 着色过滤。注意加 --line-buffered 保证实时性，避免缓冲延迟：
journalctl -f | grep --line-buffered --color=always -i -E "error|fail|exception|refused|denied|panic"- 若想同时看到上下文，加
-C 1显示前后各 1 行：journalctl -f | grep --line-buffered --color=always -i -C 1 "failed" - 对特定服务更精准：
journalctl -u sshd -f | grep --line-buffered --color=always -i "authentication failure\|invalid user\|disconnect"
提升可读性的实用技巧
单纯高亮关键词还不够，搭配格式和字段能更快定位问题根源：
- 用
-o short-precise显示微秒级时间戳，便于比对事件顺序：journalctl -u docker -p 3 -o short-precise -f - 用
--all强制显示完整消息（防截断），适合长错误堆栈：journalctl -u java-app -p 3 --all -f - 结合
_SYSTEMD_UNIT=字段精确匹配（比-u更底层，支持通配）：journalctl _SYSTEMD_UNIT=*.service PRIORITY=3 -f
让高亮更稳定：避免终端颜色丢失
某些终端或 SSH 客户端可能不识别 ANSI 颜色。确保：
- 本地终端支持颜色（
echo $TERM应为xterm-256color或类似） - 远程连接时加
-t强制分配伪终端：ssh -t user@host 'journalctl -f | grep --color=always -i error' - 如需保存带颜色的日志，用
script命令捕获：script -qec "journalctl -f | grep --color=always -i fail" /dev/null
