journalctl游标是唯一有序的时间戳+序列号编码字符串，支持精确定位与断点续查；可用--show-cursor获取、--cursor=跳转，结合-n、-f、--reverse实现分页与实时跟踪。
journalctl 支持游标（cursor）机制，这是它区别于传统日志工具的关键能力之一：游标是每条日志的唯一、有序、时间戳+序列号混合编码的字符串标识，能精确定位到某一条日志，并在后续查询中从该位置继续读取，避免重复或遗漏——特别适合分页加载、断点续查、监控程序轮询等场景。
获取当前日志末尾的游标
运行以下命令可输出最后一条日志的游标（不显示日志内容）：
-
journalctl -n 1 --show-cursor —— 显示最新1条日志 + 其游标（形如
s=0123456789abcdef...） - journalctl -n 0 --show-cursor —— 不输出日志，仅返回游标（更干净，适合脚本提取）
从指定游标开始读取新日志
使用 --cursor= 参数可跳转到某条日志之后的位置，只获取“新增”部分：
- journalctl --cursor="s=0123456789..." -n 50 —— 从该游标起，取接下来50条日志
- journalctl --cursor="s=0123456789..." -f —— 从该游标起实时跟踪，等效于“断点续接 tail -f”
- 游标具有严格顺序性，即使系统重启、日志轮转，只要日志未被 vacuum 清理，该游标仍有效
结合分页与游标实现无损滚动
手动模拟“上一页/下一页”时，不能只靠 -n 和翻页键，而应利用游标保持上下文：
- 首次请求：journalctl -n 100 --show-cursor → 记下首条和末条游标（首条用于“上一页”，末条用于“下一页”）
- 下一页：用末条游标执行 journalctl --cursor="..." -n 100
- 上一页：需配合
--reverse和--until或用--cursor+--after-cursor的变通方式（注意：journalctl 原生不支持“向前游标”，但可通过两次查询逼近）
实用技巧与注意事项
游标不是万能的，正确使用需注意：
- 游标只在持久化日志（
Storage=persistent）启用后才长期有效；若为volatile模式，重启后游标失效 - 导出日志时加
--output=export可保留游标信息，便于跨主机分析 - 脚本中建议用
--quiet --no-pager避免控制字符干扰解析 - 查看游标对应时间戳？可追加
-o verbose，其中__CURSOR字段旁有__REALTIME_TIMESTAMP
