journalctl是现代 Linux 系统特别是使用 systemd 的系统中用来查看和管理系统日志的神器。你可以把它理解为系统日志的“瑞士军刀”。相比传统的tail -f /var/log/xxx它不仅能实时看日志还能按时间、服务、级别进行非常灵活的过滤。️ 基础用法日常最常用查看所有日志直接输入journalctl会按时间顺序显示所有日志内容很多按q退出。实时滚动查看类似tail -f适合监控服务运行状态。journalctl -f查看本次开机后的日志只看当前启动周期内的日志排查刚发生的问题很有用。journalctl -b查看内核日志类似dmesg命令只看硬件和内核相关的信息。journalctl -k 强大的过滤功能精准定位问题按服务过滤比如想看 Nginx 或 Docker 的日志加上-u参数即可。journalctl -u nginx.service journalctl -u docker.service按时间过滤可以精确到分钟或者用“几小时前”这种自然语言。journalctl --since 2026-07-17 10:00 --until 2026-07-17 12:00 journalctl --since 1 hour ago按错误级别过滤只想看报错信息用-p参数。journalctl -p err # 只显示错误及以上级别的日志按进程或用户过滤journalctl _PID1234 # 查看特定进程ID的日志 journalctl _UID1000 # 查看特定用户ID的日志 日志管理与清理如果日志文件占用了太多磁盘空间可以用它来清理查看日志占用了多少空间journalctl --disk-usage清理指定时间前的日志比如清理7天前的journalctl --vacuum-time7d限制日志总大小比如只保留最近500Mjournalctl --vacuum-size500M 补充小知识权限问题默认情况下只有root用户或者属于systemd-journal、adm、wheel组的用户才能查看完整的系统日志。普通用户执行时可能会提示权限不足。日志持久化有些 Linux 发行版默认日志是临时的重启就没了存在/run/log/journal/。如果想永久保存需要配置/etc/systemd/journald.conf文件将Storage设置为persistent然后重启systemd-journald服务。总结一下journalctl是排查 Linux 系统故障、监控服务状态的核心工具。日常运维中记住journalctl -f实时看和journalctl -u 服务名看指定服务这两个最实用的组合就足够应对大部分场景了。