journalctl是systemd日志管理工具，可按服务、时间、优先级过滤日志，支持实时查看、用户日志查询、持久化存储及日志大小限制，并通过权限组管理访问控制，相比传统syslog具有性能和功能优势。
使用
journalctl命令，你可以轻松查看Linux系统服务日志。它能让你按时间、服务、优先级等多种方式过滤日志，快速定位问题。
journalctl 命令是systemd 日志管理器的核心工具，熟练掌握它可以极大地提升你排查问题的效率。
journalctl 的基本用法与高级技巧
journalctl最基础的用法就是直接在终端输入它，不带任何参数。这会显示所有从系统启动开始的日志，信息量巨大，通常需要配合其他参数来过滤。
比如，要查看特定服务的日志，可以使用
-u参数，后面跟上服务名。例如，查看
nginx服务的日志：
journalctl -u nginx
如果想实时查看日志，类似
tail -f的效果，可以加上
-f参数：
journalctl -u nginx -f
这样，任何
nginx服务产生的新的日志都会立刻显示在终端上。
有时候，你可能只关心最近一段时间的日志。
journalctl提供了多种时间过滤选项。使用
--since和
--until参数可以指定开始和结束时间。时间格式可以很灵活，比如：
journalctl --since "2023-10-26 08:00:00" --until "2023-10-26 09:00:00"
或者更简洁地：
journalctl --since "yesterday" --until "now"
甚至可以使用相对时间：
journalctl --since "2 hours ago"
这些时间过滤选项可以组合使用，非常方便。
如何按优先级过滤 journalctl 日志？
日志信息通常会有不同的优先级，比如
debug、
info、
warning、
error、
critical等。使用
-p参数可以按优先级过滤日志。例如，只查看
error及以上级别的日志：
journalctl -p err
这里
err代表
error级别。你也可以指定多个级别，用逗号分隔：
journalctl -p err,crit,alert,emerg
这些级别从高到低依次是
emerg（紧急）、
alert（警告）、
crit（严重）、
err（错误）、
warning（警告）、
notice（注意）、
info（信息）、
debug（调试）。通常，生产环境更关注
error及以上级别的日志。
journalctl 如何查看指定用户的日志？
有时候，你需要查看特定用户的日志。这可以通过
-u参数结合
_UID字段来实现。首先，你需要知道用户的UID。可以使用
id命令来获取：
id yourusername
假设你的UID是1000，那么可以使用以下命令来查看该用户的日志：
journalctl _UID=1000
这会显示所有属于该用户的进程产生的日志。注意，这需要系统配置了相应的权限，否则可能看不到其他用户的日志。
如何持久化 journalctl 日志？
默认情况下，
journalctl的日志存储在内存中，重启后会丢失。如果需要持久化存储日志，需要配置
systemd-journald。编辑
/etc/systemd/journald.conf文件，找到
Storage选项，将其设置为
persistent：
Storage=persistent
然后重启
systemd-journald服务：
systemctl restart systemd-journald
这样，日志就会存储在
/var/log/journal/目录下，即使重启系统也不会丢失。需要注意的是，这会占用一定的磁盘空间，需要根据实际情况进行配置。
journalctl 如何限制日志大小？
持久化日志后，如果不加以限制，日志文件可能会无限增长，最终耗尽磁盘空间。
systemd-journald提供了多种选项来限制日志大小。可以在
/etc/systemd/journald.conf文件中配置以下选项：
SystemMaxUse
: 日志占用的最大磁盘空间。SystemKeepFree
: 保持空闲的磁盘空间。SystemMaxFileSize
: 单个日志文件的最大大小。MaxRetentionSec
: 日志保留的最大时间。
例如，限制日志最多占用1GB磁盘空间，并保留至少100MB空闲空间：
SystemMaxUse=1G SystemKeepFree=100M
修改配置文件后，同样需要重启
systemd-journald服务才能生效。
如何解决 journalctl 查看日志权限问题？
有时候，即使你是管理员，也可能无法查看所有日志。这通常是由于权限配置不当导致的。
journalctl的权限控制主要通过
systemd-journal组来实现。确保你的用户属于该组：
sudo usermod -a -G systemd-journal yourusername
然后重新登录，或者重启
systemd-journald服务。如果仍然无法查看所有日志，可以检查
/etc/systemd/journald.conf文件中的
ReadAccess选项。如果设置为
system，则只有
systemd-journal组成员才能查看所有日志。如果设置为
all，则所有用户都可以查看所有日志。
journalctl 与传统的 syslog 有什么区别？
传统的
syslog使用文本文件存储日志，而
journalctl使用二进制格式存储日志，这使得
journalctl在性能和功能上都优于
syslog。
journalctl支持更丰富的元数据，例如进程ID、用户ID、时间戳等，方便进行更精确的过滤和分析。此外，
journalctl与
systemd紧密集成，可以更好地跟踪系统状态。虽然
syslog仍然被广泛使用，但
journalctl正在逐渐成为Linux系统日志管理的主流选择。
