Linux journalctl 怎样按时间和服务过滤日志

排查 systemd 服务时，直接运行 journalctl 往往会看到一大段混杂日志。更实用的做法是先指定服务，再限制时间范围：journalctl -u nginx.service --since "today 09:00" --until "today 10:00"。其中 -u 负责匹配服务单元，--since 和 --until 负责界定时间窗口。

官方地址：https://www.freedesktop.org/software/systemd/man/latest/journalctl.html

下面的命令都是可复制的查询示例，输出会随主机、服务名称、时区和日志保留策略变化；文中的结构图是原创说明图，不是终端截图或本机运行证据。

先理解 journalctl 的过滤模型

journalctl 读取 systemd journal 中的结构化记录。服务过滤本质上是在查询 _SYSTEMD_UNIT= 字段，时间过滤则限制记录的时间边界，所以它比对整段文本做模糊搜索更适合定位某次服务启动。

官方手册规定，不同字段的匹配条件会同时生效，可以理解为交集；同一个字段写出多个匹配值时则是替代关系。例如服务名与时间范围会一起收窄结果，而两个不同的服务单元可以表示“任一服务”。

按服务和时间窗口查询

最常用的单服务查询是 -u 或完整写法 --unit=。服务名称要写成 systemd 认识的 unit 名称，例如 nginx.service、sshd.service。如果不确定实际名称，可以先用 systemctl list-units --type=service 查看当前加载的服务，再把确认过的名称交给 journalctl。

# 查看 nginx 服务今天 09:00 到 10:00 的日志
journalctl --unit=nginx.service --since "today 09:00" --until "today 10:00" --no-pager

# 查看最近一次启动周期中的 sshd 日志，并限制为最近 80 行
journalctl --unit=sshd.service --boot=0 --lines=80 --no-pager

# 使用相对时间查询最近 15 分钟的服务记录
journalctl --unit=nginx.service --since "-15 min" --no-pager

--since 表示不早于指定时间，--until 表示不晚于指定时间。日期可以写成完整日期时间，也可以使用 today、yesterday 或带正负号的相对时间。需要固定显示格式时，可以再加 --output=short-full，方便把日志时间和查询条件对照起来。

--boot=0 指向当前启动周期；不加它时，查询可能跨越多个启动周期，只要日志仍在保留范围内就可能被返回。

把服务、优先级和关键字组合起来

时间和服务已经能解决大部分定位任务，但启动失败通常还要结合优先级或消息内容。下面的组合把范围限制在当前启动周期、指定服务和 warning 及更高优先级，再用关键字筛选消息字段。

# 在当前启动周期中查 nginx 的 warning 及更严重消息
journalctl --unit=nginx.service --boot=0 --priority=warning..alert --no-pager

# 在指定时间窗口内查找包含 timeout 的消息
journalctl --unit=nginx.service --since "2026-10-23 08:00:00" \
  --until "2026-10-23 09:00:00" --grep="timeout" --no-pager

# 同时查看两个服务，两个 --unit 值对同一字段形成替代匹配
journalctl --unit=nginx.service --unit=php-fpm.service --since "-30 min" --no-pager

--priority=warning..alert 是优先级范围；单独写 warning 时，journalctl 会包含该级别及更重要的级别。--grep 作用于 MESSAGE= 字段，且全小写模式默认不区分大小写。它不是对所有元数据字段做通用搜索，服务和时间仍应使用各自的选项表达。

空结果时先排查四个边界

• 服务名称：-u 需要 unit 名称，别把进程名、显示名称或可执行文件路径直接当成服务名。
• 权限范围：普通用户默认只能读取自己的 journal 和被授权的系统日志；必要时用有权限的账号查询，但不要为了看日志关闭系统访问控制。
• 时间解释：时间字符串按 systemd 的时间规范解析，主机时区会影响直观显示；跨时区排查时可加 --utc 统一查看。
• 持久化策略：如果日志只保存在内存中，重启后自然可能找不到旧记录；这不是过滤条件写错。

分页器也会影响体验。脚本化复制或故障工单中通常加 --no-pager，再配合 --lines 控制输出量；如果需要看完整结构化字段，可以选择 --output=json，但要注意长字段和二进制内容的显示规则。

相关问题

怎样只看某个服务最近一次启动的日志？

使用 journalctl --unit=服务名 --boot=0，再按需要追加 --since 或 --lines。--boot=0 表示当前启动周期。

为什么加了两个过滤条件后没有结果？

不同字段通常按交集处理。服务、时间、启动周期、优先级和关键字任何一个条件不匹配，记录都会被排除；先去掉最窄的条件，再逐项加回更容易定位原因。

怎样查询两个服务的日志？

可以重复写 --unit。同一字段的多个匹配值表示替代关系，但仍会与时间或优先级等其他字段共同生效。

记住一个顺序即可：先用 --unit 定位服务，再用 --since/--until 定义时间，最后按启动周期、优先级和消息关键字收窄。这样既能减少噪声，也能避免把“没有日志”误判成“服务没有运行”。