journalctl支持json日志导出，需用--output=json或json-pretty配合jq等工具实现可读、标准时间戳及字段过滤；生产环境推荐结合gzip压缩与按服务分离导出；应用可通过systemd-cat或sd_journal_print注入结构化json日志。
journalctl 本身支持以 JSON 格式输出日志，但默认的 json 格式不带换行、不易读，且时间戳为 Unix 时间戳；若要导出结构清晰、可读性强、便于后续解析的 JSON 日志，需配合格式选项与工具链处理。
使用 --output=json 或 --output=json-pretty 导出基础 JSON
最直接的方式是用内置输出格式：
-
journalctl -n 100 --output=json：输出紧凑 JSON（单行），适合管道传输给 jq 等工具 -
journalctl -u nginx.service --since="2024-06-01" --output=json-pretty：带缩进的 JSON，人类可读，但体积大、不适用于大数据量导出
注意：json-pretty 在较老版本 systemd（如 CentOS 7）中可能不可用，建议先运行 journalctl --help | grep output 确认支持项。
导出带标准时间戳和字段过滤的 JSON
原始 JSON 中的 __REALTIME_TIMESTAMP 是微秒级整数，不够直观。可通过 --output=json-syslog 或结合 jq 转换：
- 用 jq 将时间戳转为 ISO8601 格式并精简字段：
journalctl -n 50 --output=json | jq 'with_entries(if .key | startswith("_") then .value |= (. / 1000000 | strftime("%Y-%m-%dT%H:%M:%S%z")) else . end)' - 更实用的做法是提取常用字段（如时间、服务、优先级、消息）：
journalctl -n 50 --output=json | jq '{time: (.__REALTIME_TIMESTAMP / 1000000 | strftime("%Y-%m-%dT%H:%M:%S%z")), unit: .UNIT, priority: .PRIORITY, message: .MESSAGE}'
批量导出到文件并压缩保存
生产环境常需归档日志。推荐组合命令确保完整性与效率：
- 导出最近 24 小时所有日志为格式化 JSON 文件：
journalctl --since="1 day ago" --output=json | jq -c '.' > journal-$(date -I).json - 自动压缩（避免磁盘占满）：
journalctl --since="2024-06-01" --until="2024-06-02" --output=json | gzip > journal-20240601.json.gz - 按服务分离导出（如只取 ssh 和 docker）：
journalctl -u sshd -u docker --since="hour ago" --output=json | jq -c '.' > ssh-docker-recent.json
进阶：用 systemd-cat 或外部程序注入结构化 JSON 日志
若希望应用日志天然就是 JSON 格式（便于统一收集），可在写日志时主动构造：
- 程序输出 JSON 字符串后，通过
systemd-cat发送给 journald：echo '{"level":"error","module":"api","msg":"timeout"}' | systemd-cat -t myapp -p 3 - 这样查日志时，
journalctl -t myapp --output=json-pretty就能直接看到结构化字段，.MESSAGE内容即为原始 JSON 字符串（需再用 jq 解析） - 更彻底的做法是让应用使用
sd_journal_print()C API 或python-systemd库直接写入结构化字段，而非塞在 MESSAGE 里
