Linux 取证135 条

容器日志时间戳与宿主机时钟

容器与宿主机共享内核时钟，docker logs -t 输出 UTC 时间戳；容器内应用日志的时区则取决于镜像配置，两者要对齐后再并入时间线。

命令	docker logs -t 带时间戳；--since/--until 支持时间过滤
时区	docker logs -t 输出 UTC

带时间戳导出

docker logs -t --since 2026-01-02T00:00:00 app 2>&1 | head -20
docker inspect -f '{{.State.StartedAt}}' app

容器重启后日志延续在 json-file 里，StartAt 可用于对齐启动锚点。

‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌