当前位置：首页 > 文章列表 > 文章 > linux > journalctl 多个字段条件怎么组合 AND 与 OR

journalctl 多个字段条件怎么组合 AND 与 OR

来源：17golang原创 2026-09-27 00:39:38 0浏览收藏

journalctl 的字段匹配不是把每个参数简单地拼成一条文本搜索式。不同字段的匹配默认是 AND，同一字段重复写多个值是 OR；如果要把两组完整条件做 OR，需要在两组匹配之间单独放一个 +。掌握这三条规则，就能把“某服务的某进程”与“另一服务的全部日志”写成一条可读查询。

官方地址：https://www.freedesktop.org/software/systemd/man/latest/journalctl.html

要点速览

_SYSTEMD_UNIT=a.service _PID=123 表示两个字段同时满足。
同一字段重复出现表示任一值匹配，例如两个 _SYSTEMD_UNIT。
+ 连接两组条件时代表 OR，前后要留空格并作为独立参数传给 journalctl。

先分清字段匹配的三种逻辑关系

journalctl 的位置参数可以写成 FIELD=VALUE。当命令里出现不同字段时，日志记录必须同时满足这些字段；同一个字段出现多个值时，任意一个值满足即可。这个规则适合把服务范围和进程范围逐层收窄。

写法	逻辑	含义
`_SYSTEMD_UNIT=api.service _PID=123`	AND	api.service 且 PID 为 123
`_SYSTEMD_UNIT=api.service _SYSTEMD_UNIT=worker.service`	同字段 OR	api.service 或 worker.service
`_SYSTEMD_UNIT=api.service _PID=123 + _SYSTEMD_UNIT=db.service`	组间 OR	前一组或 db.service

journalctl 结构化字段匹配中不同字段 AND、同字段 OR 与加号组间 OR 的关系说明图 — 图1：journalctl 字段匹配逻辑说明图，展示不同字段、同字段和加号分组的关系；这是原创静态结构图，不是终端截图。

不同字段直接并列就是 AND

排查某个服务的单一进程时，把字段并列写在同一组即可。下面的 _SYSTEMD_UNIT 限定服务，_PID 再限定进程，只有两者都满足的记录会留下。

# 只查看 api.service 中 PID 1234 产生的日志
journalctl _SYSTEMD_UNIT=api.service _PID=1234 --no-pager

# 先列出日志里出现过的字段，确认字段名再组合条件
journalctl --fields

# 只显示指定服务最近一段日志，减少首次排查的输出范围
journalctl -u api.service --since "30 min ago" --no-pager

这里的 --no-pager 只是控制输出方式，不改变筛选逻辑。字段名要完全匹配 journal 中的实际字段；服务名通常使用 systemd unit 名称，PID 则是记录里的结构化字段。若命令返回空结果，先去掉一个条件逐项确认，不要马上把它当成服务没有产生日志。

同一字段重复写多个值就是 OR

需要查看两个服务的日志时，可以重复同一个字段。它们会被视为同一字段的候选值，而不是要求一条记录同时属于两个不同服务。

# 查看 api.service 或 worker.service 的日志
journalctl _SYSTEMD_UNIT=api.service _SYSTEMD_UNIT=worker.service --no-pager

# 同一字段还可以继续增加候选 unit，按实际排查范围控制数量
journalctl _SYSTEMD_UNIT=api.service _SYSTEMD_UNIT=worker.service _SYSTEMD_UNIT=cron.service \
  --since today --no-pager

同字段 OR 只适合“字段相同、值不同”的候选集合。如果每个候选还带有不同的 PID、优先级或消息条件，就应该用 + 把完整条件分组。

journalctl 使用加号连接两组完整字段条件实现 OR 的关系说明图 — 图2：journalctl 加号分组说明图，展示“服务加 PID”与“另一服务”两组完整条件的 OR 关系；这是原创静态结构图，不是终端截图。

用加号连接两组完整条件

+ 必须作为独立参数出现在两组匹配之间。它表示前后两组条件做析取，也就是任意一组匹配即可。下面一组找 api.service 的 PID 1234，另一组找 db.service 的全部记录：

# + 两侧都是完整匹配组，表示两组条件取 OR
journalctl _SYSTEMD_UNIT=api.service _PID=1234 + _SYSTEMD_UNIT=db.service \
  --since "1 hour ago" --no-pager

# 值中含空格时交给 shell 的引号保护，+ 仍保持独立
journalctl _SYSTEMD_UNIT=api.service MESSAGE="connection refused" \
  + _SYSTEMD_UNIT=db.service --no-pager

不要写成 api.service+db.service，也不要把 + 交给 shell 做算术或字符串拼接。journalctl 需要看到单独的加号参数，才能建立组间 OR。

权限、字段和 grep 的边界

结构化字段适合先缩小日志集合，grep 更适合对已经输出的文本做补充匹配，例如过滤一条消息里的词。不要用管道替代字段逻辑：文本格式可能随输出选项变化，而字段匹配仍然基于 journal 记录中的结构化键。普通用户看不到某些系统日志时，空结果也可能是权限问题；可先用当前用户能读取的 unit 验证命令，再按运维权限策略处理。