journalctl默认输出二进制日志，需用--output指定格式导出：文本用--no-pager重定向，json适合脚本解析，csv需jq转换，syslog格式用于传统系统对接。
journalctl 默认输出的是结构化二进制日志（journald 格式），不能直接用文本编辑器打开或按常规方式处理。要导出为可读、可传输、可归档的文本格式，核心是使用 --output 选项指定输出格式，并配合重定向或管道保存。
导出为标准文本格式（最常用）
这是日常排查和分享日志最实用的方式，保留时间戳、服务名、优先级等关键字段，纯 ASCII 可读：
- 导出全部日志到文件：
journalctl --all --no-pager > system.log - 只导出最近 1 小时的日志：
journalctl --since "1 hour ago" --no-pager > recent.log - 导出指定服务（如 sshd）的日志：
journalctl -u sshd --no-pager > sshd.log
注意：务必加 --no-pager，否则可能卡在 less 分页器里；--all 确保不丢弃被截断或无权限字段的日志。
导出为 JSON 格式（适合程序解析）
JSON 输出保留所有原始字段（包括二进制 blob 的 base64 编码），适合脚本处理、导入 ELK 或做自动化分析：
- 导出为单行 JSON（每条日志一行，便于流式处理）：
journalctl -o json --no-pager > logs.json - 导出为美化缩进的 JSON（方便人工查看）：
journalctl -o json-pretty --no-pager > logs_pretty.json - 过滤并导出特定字段（如时间+消息+服务）：
journalctl -o json --no-pager | jq '.["__REALTIME_TIMESTAMP","_SYSTEMD_UNIT","MESSAGE"]'
需要 jq 工具辅助解析，未安装可用 sudo apt install jq（Debian/Ubuntu）或 sudo dnf install jq（RHEL/Fedora）。
导出为 CSV 格式（适配 Excel 或数据库）
journalctl 本身不支持原生 CSV，但可通过组合命令提取常用字段生成 CSV：
- 简单 CSV（时间、优先级、服务、消息）：
journalctl -o json --no-pager | jq -r 'select(.MESSAGE != null) | [.realtime_timestamp // .__REALTIME_TIMESTAMP, .PRIORITY, ._SYSTEMD_UNIT, .MESSAGE] | @csv' > logs.csv - 带表头的 CSV（更规范）：
echo '"TIMESTAMP","PRIORITY","UNIT","MESSAGE"' > logs.csv && journalctl -o json --no-pager | jq -r 'select(.MESSAGE != null) | [(.realtime_timestamp // .__REALTIME_TIMESTAMP), .PRIORITY, ._SYSTEMD_UNIT, .MESSAGE] | @csv' >> logs.csv
字段名需根据实际需求调整，.realtime_timestamp 是新版本字段，老系统用 .__REALTIME_TIMESTAMP；select(.MESSAGE != null) 过滤掉无消息体的条目，避免空行。
导出为 Syslog 兼容格式（对接传统日志系统）
若需对接 rsyslog、fluentd 等工具，可用 syslog 或 syslog-structured 格式：
- 标准 syslog 文本（RFC 3164 风格）：
journalctl -o syslog --no-pager > syslog-format.log - 结构化 syslog（RFC 5424，含 structured-data）：
journalctl -o syslog-structured --no-pager > syslog-struct.log
该格式兼容性强，但会丢失部分 journald 特有字段（如 _BOOT_ID、_HOSTNAME 等），适合做协议桥接而非完整备份。
