在诸如Ubuntu、Debian、Linux Mint、Fedora和Red Hat等广受欢迎的Linux发行版中，系统会忠实记录用户的登录、关机、重启以及运行时长信息。这些信息对管理员调查事件、排查故障或汇总用户活动报告极为宝贵。
Linux系统及应用程序日志通常保存在/var/log/目录下，通过命令如cat或journalctl可访问。此外，还有一些命令利用内核管理的特殊文件来监控用户活动。本文将介绍几种帮助你查看用户登录、关机、重启日志及系统运行时长的有效命令。
使用Who命令
Linux中的who命令能展示与用户登录相关的信息，包括账号名、终端、登录时间、登录来源的主机名或IP地址。
$ who
输出示例（请想象此处应有图片展示）：。
使用-b标志可查询当前登录（或最近重启）的日期和时间。
$ who -b
输出示例（此处同样应有图片展示）：
使用Last命令
Linux的last命令从/var/log/wtmp文件读取数据，显示用户最后登录的列表、持续时间及其他信息。
$ last <用户名>
输出示例（图片形式）：特定用户的最后登录情况。
不指定用户名而使用reboot参数，可获取Linux最近重启的时间和日期。
$ last reboot
输出示例（图片）：最近一次用户重启信息。
使用Uptime命令
uptime命令显示当前时间、系统运行时长、登录用户数及过去1、5、15分钟内的平均CPU负载。
$ uptime
输出示例（图片）：系统运行时长等信息。
使用-p仅显示系统启动时长，-s打印系统启动的确切日期和时间。
$ uptime -p
$ uptime -s
输出示例（图片）：系统启动的日期和时间。
使用Journalctl命令
journalctl命令查询系统日志，用于显示更多详细信息，如系统启动次数。
$ journalctl --list-boots
输出示例（图片）：系统启动次数。
指定BOOT IDs使用-b标志可获得更详细信息。
$ journalctl -b <boot_id>
输出示例（图片）：最近几次重启的详细记录。
查找导致关机/重启的原因
服务器若发生非预期的关机或重启，可能需要调查原因并确定责任方。可用以下命令实现：
$ sudo journalctl | grep shutdown
输出示例（图片）：包含关机或重启记录的系统日志。
上述输出首条记录通常表明有人执行了关机操作，结合文中其他方法可进一步锁定操作者。
总结
本文介绍了如何检查用户登录记录、系统关机和重启时间，以及追踪这些操作背后的实体。如有相关疑问，欢迎在评论区留言讨论。
