journalctl不支持\_pgid=字段过滤，因其未被journald自动记录；仅支持\_pid、\_uid、\_gid等预定义字段；需通过pid关联或应用层主动注入pgid日志实现间接筛选。
按进程组 ID（PGID）筛选日志
journalctl 本身不直接支持 _PGID= 这样的字段过滤，它原生支持的是 _PID、_UID、_GID（即进程所属的**主组 ID**），但不包括进程组 ID（Process Group ID）。PGID 是 POSIX 进程管理中的概念，由内核维护，但 journald 默认不将其作为结构化字段记录到日志条目中。
为什么不能直接用 _PGID=？
因为 systemd-journald 在采集日志时，不会自动提取或存储每个日志消息对应的 PGID。它记录的元数据字段是预定义的（如 _PID、_UID、_GID、_COMM、_EXE、SYSLOG_IDENTIFIER 等），而 _PGID 不在标准字段列表中。即使进程属于某个 PGID，该信息也不会随日志一并写入 journal。
替代方案：通过关联字段间接定位
若你已知目标进程的 PID 或启动命令，可结合以下方式缩小范围：
- 先查出目标进程的 PGID（例如用 ps -o pid,pgid,comm -g
或 pgrep -g ） - 再用 journalctl _PID=xxx 查看该进程产生的日志（注意：子进程可能有不同 PID，但同属一个 PGID）
- 若进程启动时带明确标识（如特定命令行、服务名、环境变量），可用：
journalctl _COMM=nginx（命令名）
journalctl _EXE=/usr/bin/python3（执行路径）
journalctl MESSAGE="starting worker"（关键词匹配）
进阶：自定义日志注入 PGID（需应用配合）
如果确实需要按 PGID 追踪，可在应用程序日志中主动写入 PGID 字段，例如：
- 在脚本中调用：logger "PGID=$(getpgid $$) | myapp: started"
- 然后用：journalctl MESSAGE="PGID=12345" 过滤
- 或使用 --all -o verbose 查看完整字段，确认是否含自定义键
不复杂但容易忽略：PGID 不是 journalctl 的原生筛选维度，靠系统自动记录不可行，得靠 PID 关联或应用层主动标注。
