Linux journalctl 日志入门：按服务、时间和优先级查故障

journalctl 读取 systemd journal，可按 Unit、启动次数、时间范围和优先级过滤，比在海量日志中逐行翻找更可靠。

一、先理解问题

初学排障不要一次修改多处。先记录时间、现象、当前配置和预期结果，再把问题拆成可以测量的小步骤。

二、操作步骤

先记录故障发生时间；按服务筛选；缩小到最近一次启动或最近30分钟；需要持续观察时使用 -f；导出前注意敏感信息。

journalctl -u nginx --since "30 min ago" --no-pager\njournalctl -b -p warning\njournalctl -u ssh -f

示例中的主机名、服务名、路径和引脚必须替换为自己的环境。执行修改命令前先运行查询命令，并保存原值。

三、验证结果

复现一次故障并确认新日志时间一致；把第一条异常与后续连锁错误区分开。

验证至少包含“命令结果”和“实际功能”两层。只看到绿色提示或进程存在，并不能证明最终服务可用。

四、常见风险

日志可能含用户名、IP、路径和令牌；不要直接公开完整日志，清理日志前先备份证据。

出现异常时停止扩大变更，回到最后一个已确认正常的步骤。把错误原文、时间和实测数据记下来，方便之后复盘。

五、完成标准

能够重复操作、解释每一步作用、证明功能正常，并留下回退方法，才算真正完成。

本文为中文原创学习整理，资料来源：官方技术文档。