journalctl 怎样输出 JSON 格式日志

journalctl 默认输出接近传统 syslog 的单行文本，适合人在终端里快速浏览；如果要交给 jq、脚本或日志采集器处理，应显式指定 --output=json。最小写法如下：

# 只读取最近 30 分钟的 sshd 日志，并关闭分页器，保证每行都是日志数据
journalctl --no-pager --output=json --since "30 minutes ago" --unit=sshd.service

官方地址：https://www.freedesktop.org/software/systemd/man/latest/journalctl.html

--output=json 会把每条 journal 记录编码成一个 JSON 对象，并用换行分隔；配合 --no-pager、--since 和 --unit，就能得到适合管道处理的日志流。

最小命令：把日志变成逐行 JSON

--output=json 也可以写成短参数 -o json。它的关键特点不是“把多条日志包成一个 JSON 数组”，而是每条记录各自成为一个 JSON 对象，记录之间用换行分隔。这种格式可以被逐行读取，也不会因为等待整批数组结束才开始处理。

查询范围最好和输出格式一起写清楚。--since、--until 可以限制时间，--unit 可以限定 systemd 服务单元；这些筛选条件能减少下游需要解析的数据量。

# 按时间和服务单元缩小范围；-o json 与 --output=json 等价
journalctl -o json --since "2026-10-27 09:00:00" --until "2026-10-27 10:00:00" --unit=nginx.service

# 只保留字段名，减少输出体积；字段名必须使用 journal 中真实存在的键
journalctl --no-pager -o json --output-fields=__REALTIME_TIMESTAMP,_SYSTEMD_UNIT,PRIORITY,MESSAGE

JSON 对象里有哪些值得关注的字段

journal 字段通常以 JSON 字符串呈现。排障时最常用的是 MESSAGE 消息正文、_SYSTEMD_UNIT 服务单元、PRIORITY 优先级，以及 __REALTIME_TIMESTAMP 这类时间字段。不要只把 MESSAGE 当成完整事件：同一条记录的来源和时间往往也需要一起保留。

官方手册还规定了几个容易被忽略的边界：

• 超过 4096 字节的字段默认可能编码为 null；使用 --all 可以关闭这个尺寸限制，但可能产生很长的 JSON 对象。
• journal 允许同一条记录出现重复字段，而 JSON 对象不允许重复键；遇到这种字段时，输出会使用数组保存全部值。
• 不可打印或非 UTF-8 字节会编码为由无符号数字组成的数组，不应强行按普通字符串解码。

因此，机器消费时要允许字段缺失、字段为 null 或字段从字符串变成数组。稳定解析的重点是先确认字段类型，再决定是否取值，而不是假设每条记录都拥有同一组键。

json、json-pretty 和 json-seq 怎么选

--output 不只有一个 JSON 模式。它们表达的是不同的消费约束：

如果下游按“每行一个 JSON”读取，优先使用 json；如果把输出直接贴给人看，json-pretty 更容易阅读，但不能再假设一行就是一条记录。需要 RFC 7464 分隔符时才使用 json-seq，否则普通逐行工具可能把开头的控制字符当成数据。

把筛选和格式组合起来

日常排障通常不是“导出所有日志”，而是“限定范围后提取少量字段”。例如下面的命令只取某个服务的错误和警告，并让 jq 以制表符输出时间、服务和消息：

# 只筛选优先级 3（err）和 4（warning），再取三个字段
journalctl --no-pager -o json --since "today" --unit=nginx.service |
  jq -r 'select(.PRIORITY == "3" or .PRIORITY == "4")
    | [.__REALTIME_TIMESTAMP, ._SYSTEMD_UNIT, .MESSAGE]
    | @tsv'

这里的 jq -r 负责去掉字符串外层引号，select 负责筛选，数组和 @tsv 负责形成便于复制到表格的结果。命令没有把日志改写成另一种 JSON；它只是让下游输出更适合当前排障动作。

实时跟踪时，可以把同样的格式放在 -f 后面：

# 持续跟踪服务日志；退出时按 Ctrl+C，不要把分页器混入管道
journalctl --no-pager -f -o json --unit=nginx.service |
  jq -c '{time: .__REALTIME_TIMESTAMP, unit: ._SYSTEMD_UNIT, message: .MESSAGE}'

jq -c 会把每个结果压成单行，适合继续写入逐行 JSON 文件。若要保留原始字段，直接保存 journalctl -o json 的输出，不要先用 json-pretty 再交给逐行解析器。

几个容易误判的边界

• 看到多行，不一定是多条日志。 使用 json-pretty 时，一个 JSON 对象本来就会展开成多行；解析器应根据模式选择，而不是按换行盲切。
• 字段为空，不一定是 journal 没记录。 大字段可能受到默认尺寸限制，非 UTF-8 字段也可能表现为数组；需要完整字段时再评估 --all 的内存和输出代价。
• 管道里出现分页提示，通常是少了 --no-pager。 机器消费场景应主动关闭分页器，并把筛选条件写在命令中。
• 时间字段不要直接当本地时间字符串。 先确认下游需要的单位和时区，再在 jq、脚本或采集器中格式化。

速查：按消费对象选择写法

记住三点就够了：机器处理优先 json，人眼检查可以用 json-pretty，需要 JSON Text Sequences 才用 json-seq。再加上明确的时间、服务筛选和 --no-pager，journalctl 的输出就能稳定接入后续脚本。

相关问题

journalctl 输出 JSON 后为什么还是多行？

先确认是否使用了 json-pretty。该模式会主动把一个对象展开成多行；如果下游按行解析，改用 --output=json。

JSON 中 MESSAGE 为空怎么办？

不要只看 MESSAGE。先保留 _SYSTEMD_UNIT、优先级和时间字段，检查是否遇到字段缺失、空消息或非 UTF-8 数据，再决定下游的兜底显示策略。

journalctl 能不能直接输出给 jq？

可以。使用 journalctl --no-pager -o json ... | jq ...，并在 jq 表达式中处理 null、缺失字段和可能出现的数组值。