Linux logger 怎样向 journald 提交结构化字段

Linux 上如果只把一整句文本交给 logger，后续检索通常只能围绕 MESSAGE 做模糊查找。要把请求号、组件名和优先级交给 journald，应该使用 logger --journald，让每一行都成为一个 FIELD=VALUE 字段。

官方参考地址：https://man7.org/linux/man-pages/man1/logger.1.html

最小可用写法是：用 MESSAGE= 放正文，用 MESSAGE_ID= 标识一类事件，用 PRIORITY= 写优先级，再用大写自定义字段表达业务维度。读取时用 journalctl FIELD=VALUE 匹配，并用 --output json-pretty 查看完整字段。

logger --journald 的字段输入模型

--journald 改变的是输入模型：logger 不再把整段参数当成普通消息，而是从标准输入读取多行字段；也可以写成 --journald=文件，从文件读取同样的内容。每行都应是 journald 接受的字段，字段名放在等号左侧。

下面的示例把人类可读文本、事件标识、优先级和两个业务维度放进同一条记录。这里的字段值是示例数据，不代表本机已经执行过的输出。

# 用 here-document 一次提交一条带字段的 journald 记录
logger --journald 

MESSAGE_ID 不是必须字段，但给重复出现的事件类型一个稳定入口很有用。APP_COMPONENT、REQUEST_ID 这类应用字段则适合承载组件、请求、租户或任务编号。字段名和字段值要保持可预测，避免把多个维度再次拼回 MESSAGE。

优先级和输入方式有哪些边界

一个容易忽略的边界是：使用 --journald 时，logger 会忽略其他选项提供的部分值，例如普通模式下的优先级参数。如果需要设置优先级，就在字段输入里明确写 PRIORITY=。同理，想让记录具有可检索的标识，也应直接提供 MESSAGE_ID=。

# 把字段保存为文件，适合由脚本或配置管理系统生成
cat > journal-entry.txt 

字段输入和普通 syslog 文本不是同一条路径。不要一边使用 --journald，一边期待 -p 或位置参数替你补齐字段。对于普通字段，重复出现通常没有必要；MESSAGE 的重复行是特殊情况，可用于表达多行消息，其他字段不要把重复当成数组协议来设计。

用 journalctl 按字段读取结果

结构化字段的价值要在读取端体现。journalctl 支持用 FIELD=VALUE 作为匹配条件；当需要检查自定义字段是否存在时，再切换到 JSON 输出。这样既能按业务维度筛选，也能观察同一条记录里保存了哪些字段。

# 先按自定义字段缩小范围，再以 JSON 形式查看完整记录
journalctl APP_COMPONENT=worker -n 20 --output json-pretty

# 需要定位某个请求时，可继续叠加同一记录的另一个字段
journalctl APP_COMPONENT=worker REQUEST_ID=req-20261029-001 \
  -n 20 --output json-pretty

# 列出当前日志中出现过的字段名，帮助整理查询维度
journalctl --fields

默认输出通常突出 MESSAGE；JSON 模式更适合排查字段是否写入、字段名是否拼写一致，以及 PRIORITY 是否按预期进入记录。查询条件使用自定义字段时，字段名必须和写入时完全一致，大小写或下划线变化都会让匹配结果不同。

什么时候应该保留字段，什么时候只写 MESSAGE

可以把字段设计成“稳定维度”，把 MESSAGE 设计成“给人读的上下文”。例如组件名、任务类型和请求号适合字段；临时描述、可变参数和面向人的句子适合 MESSAGE。这样做的好处是查询条件不会依赖自然语言措辞变化。

判断一组字段是否值得保留，可以看三个问题：它是否会被单独筛选；它的值是否有稳定格式；它是否能帮助区分同一组件的不同事件。如果三个问题都是否定的，把它继续塞进字段只会增加维护成本。

常见问题

logger --journald 能否继续使用 -p 设置优先级？

不要依赖这种组合。按 journald 字段提交时，把优先级写成输入中的 PRIORITY= 更明确，也更容易被脚本复用。

为什么默认 journalctl 看不到自定义字段？

默认输出重点展示 MESSAGE。用字段匹配缩小范围，再加 --output json-pretty 查看完整记录。

自定义字段应该使用什么名字？

选择稳定、全大写、由字母数字和下划线组成的名字，并在写入端与查询端保持完全一致；不要用自定义字段冒充 journald 自动维护的下划线字段。

总结：提交结构化日志的关键不是把更多文字拼进 MESSAGE，而是让 logger --journald 接收清晰的字段集合，再用 journalctl FIELD=VALUE 和 JSON 输出把这些字段真正用于检索。