1. 基本知识

journalctl 是一个用于查询和查看 systemd 日志的命令行工具，它可以访问系统日志、应用程序日志、内核日志等，提供丰富的过滤和查询功能

知识点	描述
日志文件位置	journalctl 日志默认存储在 /var/log/journal/ 目录下。如果该目录不存在，日志存储在内存中
日志持久化	为了使日志持久化，可以手动创建 /var/log/journal/ 目录
日志格式	日志以二进制格式存储，需通过 journalctl 或其他专用工具查看
时间过滤	journalctl 支持按时间过滤日志，通过 --since 和 --until 参数指定时间范围。例如：journalctl --since "2023-09-01"
优先级过滤	日志有不同的优先级，从 0 (emerg) 到 7 (debug)。可以使用 -p 参数进行过滤。例如：journalctl -p err 只查看错误级别的日志
服务过滤	可以使用 -u 参数查看特定服务的日志。例如：journalctl -u nginx 查看 nginx 服务的日志
实时查看	使用 -f 参数可以实时查看日志输出，类似于 tail -f。例如：journalctl -f
分页输出	默认情况下，journalctl 使用 less 分页显示输出。可以使用 -n 参数指定显示的行数。例如：journalctl -n 100 显示最近的 100 行日志
搜索关键词	使用 -g 参数可以搜索特定关键词。例如：journalctl -g "error" 搜索包含 “error” 的日志条目
导出日志	使用 -o 参数可以指定日志的输出格式，如 JSON、短日志、详细日志等。例如：journalctl -o json-pretty 以 JSON 格式显示日志
压缩日志	journalctl 支持压缩旧日志文件，以节省空间。默认配置下，系统会自动处理日志的压缩
清理日志	journalctl --vacuum-time=1d 命令清理超过指定时间的日志，例如清理超过 1 天的日志
显示启动日志	使用 -b 参数可以查看自上次启动以来的日志。可以通过 -b -1 查看上次启动的日志。例如：journalctl -b 查看当前启动的日志，journalctl -b -1 查看上次的

2. 详细

按时间倒序查看所有日志：

journalctl -r

查看最新的10条日志：

journalctl -n 10

查询错误级别以上的日志：

journalctl -p err

根据服务名称过滤：

journalctl -u nginx

查看特定服务的日志：

journalctl -u sshd

查看特定时间的日志：

journalctl --since "2024-09-01 00:00:00" --until "2024-09-01 23:59:59"

清理日志： 可以通过 journalctl --vacuum-time=1d 命令清理超过指定时间的日志，比如清理超过 1 天的日志
此外，也可以通过配置 /etc/systemd/journald.conf 文件中的 SystemMaxUse= 参数来限制日志占用的最大磁盘空间