journalctl --since 怎样按时间窗口筛选日志

用 journalctl --since 筛日志，核心就是给日志记录设定一个起点；再配合 --until 就能得到完整的时间窗口。固定日期适合复盘事故，自然日适合查看今天的服务状态，相对时间适合快速查看最近几分钟或几小时。两个选项还可以和 --unit、--boot 组合，把范围收窄到某个服务或某次启动。

官方地址：https://www.freedesktop.org/software/systemd/man/latest/journalctl.html

先记住边界：--since 显示不早于指定时间的记录，--until 显示不晚于指定时间的记录。只写 --since 时，窗口会一直延伸到当前可见日志；只写 --until 时，则从可见日志的起点查到该时间。

先把 --since 和 --until 看成时间边界

不要把 --since 理解成“最近日志”开关。它接收一个时间表达式，并把查询起点放在这个时刻；--until 则提供可选的结束点。两者可以单独使用，也可以同时使用。

# 查看今天 09:00 之后的全部可见日志
journalctl --since "today 09:00" --no-pager

# 只看一个固定的半小时窗口，避免把整天日志混进来
journalctl --since "2026-10-21 09:00:00" \
  --until "2026-10-21 09:30:00" --no-pager

日期可以省略时间，此时起点按当天的 00:00:00 处理；如果只省略秒，秒按 00 处理。需要精确复盘时建议写出完整日期和时分秒，减少 shell 环境、时区和阅读习惯带来的歧义。

用三类时间表达式覆盖常见窗口

systemd 的时间解析支持几种很适合排障的写法。固定时间最容易复现；today、yesterday 和 tomorrow 以自然日零点为锚点；now 表示当前时刻；带 - 或 + 的表达式则可以表达相对当前时间的窗口。

# 从昨天零点开始查看，到今天零点前结束
journalctl --since yesterday --until today --no-pager

# 查看最近 30 分钟的日志；引号让完整表达式作为一个参数传入
journalctl --since "-30 min" --no-pager

# 查看当前时刻之前 10 分钟到当前时刻的窗口
journalctl --since "10 minutes ago" --until now --no-pager

相对时间适合临时排障，但它依赖执行命令的当前时刻；需要把结果交给同事或写进事故记录时，最好把实际起止时间换成完整时间戳。时间单位可以写成 sec、min、h 等，systemd 会按时间跨度解析。

把时间窗口和服务范围组合起来

时间过滤通常还不够。服务器上可能同时运行多个服务，建议把 --unit 或 --boot 放进同一条查询，让时间范围和日志来源一起收窄。

# 只查看当前启动中 nginx.service 最近两小时的日志
journalctl --unit=nginx.service --since "-2 hours" --boot --no-pager

# 复盘指定日期的 sshd 服务，并只保留 warning 及更严重级别
journalctl --unit=sshd.service \
  --since "2026-10-20 18:00:00" \
  --until "2026-10-20 19:00:00" \
  --priority=warning..emerg --no-pager

这些条件是叠加关系：时间窗口、unit、boot 和优先级越多，结果越窄。若服务名称不确定，可以先用 systemctl list-units --type=service 查看单元名，再把准确名称交给 --unit。

检查时区、权限与输出格式

查询为空不一定代表没有事件。先排查三个边界：目标日志是否在当前用户可见范围内，时间是否按机器配置的时区解释，以及日志是否属于另一轮启动。系统日志通常需要 root 或相应的日志读取权限，普通用户看不到时不要用“空结果”推断服务没有写日志。

# 使用完整时间格式输出，便于核对日期、时区和精确时间
journalctl --since "2026-10-21 09:00:00" \
  --until "2026-10-21 10:00:00" --output=short-full --no-pager

# 查看当前启动批次内的服务日志，并关闭分页器方便保存输出
journalctl --boot --unit=nginx.service --since today --no-pager

--output=short-full 的时间展示格式与 --since、--until 接受的完整格式一致，适合把查询条件和输出时间逐项对照。若要查询更早的启动批次，需要明确指定对应的 boot，而不是只扩大 --since 的范围。

速查表：按目标选择时间窗口

相关问题

为什么 journalctl --since 查不到明明存在的日志？

先确认时间表达式、机器时区、当前 boot 和用户权限，再去掉 --unit 或优先级条件逐项缩小问题。空结果只能说明当前组合条件下没有可见记录。

--since 能不能单独表示最近一小时？

可以使用相对时间，例如 --since "-1 hour"。如果需要留档或复现，建议把它换成明确的起止时间。

什么时候必须同时写 --until？

需要复盘一个封闭时间段、避免新日志不断进入结果，或需要把查询交给别人复现时，应该同时写出 --until。