实时跟踪指定服务日志的核心是journalctl -u -f，配合--no-pager、-o short-iso-precise、-p info..notice等优化输出，并确保服务unit中设置StandardOutput=journal以捕获stdout。
实时跟踪指定服务的 journalctl 日志，核心是用 -u 锁定服务单元，配合 -f 持续输出，并根据需要叠加过滤和格式优化。不依赖文件路径，也不需手动找日志文件，直接按服务名精准捕获。
基础实时跟踪命令
最简方式就是指定服务名并启用跟随模式：
-
journalctl -u nginx.service -f—— 实时滚动显示 nginx 的全部日志 -
journalctl -u myapp.service -f --no-pager—— 加--no-pager避免卡在 less 界面，适合脚本或终端直连 -
journalctl -u myapp.service -f -o short-iso-precise—— 显示带毫秒精度的 ISO 时间戳，方便排查时序问题
聚焦 stdout 类型输出（常见业务日志）
journalctl 不区分 stdout/stderr，但常规打印（如 Python 的 print()、Go 的 fmt.Println()）通常落在 info（PRIORITY=6）或 notice（PRIORITY=5）级别。可据此逼近 stdout 行为：
Linux Security Scanner
下载
Linux 安全审计工具，检查 SSH 配置、开放/监听端口、防火墙规则（ufw/iptables/nftables）、失败登录尝试、sudoers 权限...
-
journalctl -u myapp.service -f -p info..notice—— 只看优先级 5–6 的日志，覆盖大部分干净业务输出 -
journalctl -u myapp.service -f -o json | jq -r 'select(.PRIORITY == 6) | .MESSAGE'—— 提取纯消息内容，适合管道后续处理 -
journalctl -u myapp.service -f --since "30 seconds ago" -p info..notice—— 加时间窗口，避免启动初期刷屏干扰
确保 stdout 真正进 journal
如果执行上述命令却看不到预期输出，大概率是服务本身没把 stdout 接入 journald：
- 检查服务 unit 文件中是否明确设置：
[Service]
StandardOutput=journal
StandardError=journal - 对 Python/Node.js 等易缓冲语言，加环境变量防延迟：
Environment=PYTHONUNBUFFERED=1 或 Environment=NODE_OPTIONS=--unhandled-rejections=strict - 若服务默认以 daemon 模式运行（如 Nginx、Supervisor），需强制前台启动：
ExecStart=/usr/sbin/nginx -g "daemon off;"
快速识别与验证日志来源
不确定某条日志是否来自 stdout？可用这些方式交叉判断：
- 查完整字段：
journalctl -u myapp.service -n 5 -o verbose，关注.PRIORITY、有无ERROR/Traceback关键词 - stderr 常含
panic:、Exception、Connection refused；而无异常堆栈、格式简洁的多属 stdout - 临时加前缀区分：改
ExecStart为/bin/sh -c 'exec /path/to/app 2>&1 | sed "s/^/[STDERR] /"'，未被标记的即大概率是 stdout
