journalctl 支持按结构化字段（如_systemd_unit、priority、_pid等）精准过滤，字段名以_开头、值区分大小写，多字段默认and逻辑，支持通配符和范围匹配，推荐三步缩小范围：时间→主体→精筛。

journalctl 支持直接按结构化字段（Key-Value）精准过滤，不是靠 grep 扫描文本，而是像查数据库一样索引匹配。每条日志自带数十个元数据字段，如 _SYSTEMD_UNIT、PRIORITY、_PID 等，字段名以 _ 开头，值区分大小写且多数不支持正则（MESSAGE 除外）。

常用可过滤字段及用法

这些字段最常用于定位问题源头：

• _SYSTEMD_UNIT=xxx.service：匹配服务单元，支持通配符，如 _SYSTEMD_UNIT=nginx*
• PRIORITY=3 或 PRIORITY=3..5：用数字（0–7），不能写 err；范围写法表示 err/warning/notice
• _PID=1234：精确匹配进程 ID，适合追踪单次请求全链路
• _UID=1001：匹配用户 ID，可用于审计某用户所有操作日志
• _COMM=sshd 和 _EXE=/usr/sbin/sshd：分别匹配命令名和绝对路径，比 -u 更底层、防伪装
• MESSAGE="connection refused"：仅匹配原始日志内容，不支持正则；想用正则请用 --grep

多字段组合逻辑

journalctl 默认按空格或 + 连接多个条件，语义为 AND：

Browser Setup (No-Root Linux)

在无 root/sudo 权限的环境（云容器、VPS、隔离主机）中安装并配置 OpenClaw 浏览器工具的 headless Chrome。适用场景：...

下载

• journalctl _SYSTEMD_UNIT=redis.service PRIORITY=2 _UID=1001：同时满足三个条件
• journalctl _PID=1234 + _COMM=python3：等价于上一条，+ 是显式 AND 写法
• 相同字段多个值是 OR：如 journalctl _SYSTEMD_UNIT=a.service _SYSTEMD_UNIT=b.service 输出两者日志（注意这不是 -u a -u b 的等效写法，但效果一致）
• OR 跨不同字段需靠 + 分组：如 journalctl _SYSTEMD_UNIT=nginx.service + _PID=5678 表示 nginx 日志 或 PID 5678 的日志

快速查看可用字段

系统实际记录 50+ 字段，常用约 15 个。执行以下任一命令可列出当前环境支持的字段：

• journalctl --fields（systemd v245+ 推荐）
• journalctl -o verbose | head -20 | grep '^__' | cut -d= -f1 | sort -u

权威字段说明见：man systemd.journal-fields，里面标注了哪些字段可索引、是否支持通配、是否用户可控。

实战建议：三步缩小范围

避免全量扫描拖慢响应，推荐顺序操作：

• 先加时间约束：如 --since "10 min ago" 或 -b（当前启动）
• 再锁主体：用 -u myapp.service 或 _SYSTEMD_UNIT=myapp*，比 grep myapp 不易误匹配正文
• 最后精筛：叠加 PRIORITY、_PID、_UID 等字段，直达关键记录