如何在Linux中追踪文件打开 Linux lsof实用案例-linux运维-PHP中文网

如何在Linux中追踪文件打开 Linux lsof实用案例

P粉602998670

发布： 2025-08-22 08:19:01

原创

408人浏览过

lsof命令可用于追踪Linux中文件打开情况，通过lsof /path/to/file查看特定文件的占用进程，lsof -p <pid>查看指定进程打开的文件，lsof -u <username>查看某用户打开的文件，lsof -c <command>查看某命令相关进程的文件使用，lsof | grep deleted查找已删除但未释放的文件，结合watch可实现简单实时监控，而strace、fuser、inotifywait等工具可作为补充方案。

如何在linux中追踪文件打开 linux lsof实用案例

在Linux中追踪文件打开，主要是为了排查问题，比如某个进程一直在读写某个文件导致性能问题，或者想知道哪个进程占用了某个文件导致无法删除。

lsof

登录后复制

是个强大的工具，可以列出当前系统打开的所有文件，以及打开这些文件的进程。

lsof命令实用案例

如何使用lsof命令追踪文件打开？

lsof

登录后复制

的基本用法很简单，直接输入

lsof

登录后复制

就可以列出所有打开的文件。但这通常信息量太大，我们需要更精确的筛选。

追踪特定文件：
```
lsof /path/to/your/file
```
登录后复制
会列出所有打开
```
/path/to/your/file
```
登录后复制
的进程。举个例子，
```
lsof /var/log/syslog
```
登录后复制
可以查看哪些进程在写入系统日志。
追踪特定进程：
```
lsof -p <pid>
```
登录后复制
可以列出指定进程ID（PID）打开的所有文件。比如，你要查看PID为1234的进程打开了哪些文件，就输入
```
lsof -p 1234
```
登录后复制
。查找进程PID的方法很多，
```
ps aux | grep <进程名>
```
登录后复制
或者
```
top
```
登录后复制
命令都可以。
追踪特定用户打开的文件：
```
lsof -u <username>
```
登录后复制
会列出指定用户打开的所有文件。比如，
```
lsof -u www-data
```
登录后复制
可以查看web服务器用户打开的文件，方便排查web服务相关问题。
组合使用：
```
lsof -c <command>
```
登录后复制
可以列出指定命令打开的文件。比如，
```
lsof -c nginx
```
登录后复制
可以查看所有nginx进程打开的文件。这个命令比
```
-p
```
登录后复制
方便，因为你不需要先找到所有nginx进程的PID。
查找被删除但仍被占用的文件： 有时候，你删除了一个文件，但磁盘空间并没有释放，这可能是因为某个进程还在使用它。
```
lsof | grep deleted
```
登录后复制
可以找到这些被删除但仍在使用的文件。找到后，重启对应的进程就可以释放空间了。

如何实时监控文件打开情况？

lsof

登录后复制

只能显示当前时刻的文件打开状态，如果想实时监控，可以结合

watch

登录后复制

命令。

万物追踪

AI 追踪任何你关心的信息

查看详情

例如，要实时监控

/var/log/nginx/access.log

登录后复制

文件的打开情况，可以执行

watch -n 1 "lsof /var/log/nginx/access.log"

登录后复制

。

-n 1

登录后复制

表示每秒执行一次

lsof

登录后复制

命令。

这种方法虽然简单，但效率不高，频繁执行

lsof

登录后复制

会消耗一定的系统资源。更专业的做法是使用

auditd

登录后复制

审计系统，它可以记录所有文件访问事件，但配置起来相对复杂一些。

除了lsof，还有其他工具可以用来追踪文件打开吗？

除了

lsof

登录后复制

，还有一些其他工具可以用来追踪文件打开，但它们的功能和侧重点有所不同。

```
strace
```
登录后复制
：
```
strace
```
登录后复制
可以跟踪进程的系统调用，包括文件打开、读取、写入等。它比
```
lsof
```
登录后复制
更底层，可以提供更详细的信息，但输出也更复杂，需要一定的系统编程知识才能理解。例如，
```
strace -e trace=file -p <pid>
```
登录后复制
可以跟踪指定进程的文件相关系统调用。
```
fuser
```
登录后复制
：
```
fuser
```
登录后复制
可以根据文件名或文件系统来查找使用该文件的进程。它的用法比
```
lsof
```
登录后复制
更简单，但功能也相对有限。例如，
```
fuser /path/to/your/file
```
登录后复制
可以列出所有使用
```
/path/to/your/file
```
登录后复制
的进程的PID。
```
fuser -k /path/to/your/file
```
登录后复制
甚至可以直接杀死这些进程，但要谨慎使用。
```
inotifywait
```
登录后复制
：
```
inotifywait
```
登录后复制
可以监控文件系统的变化，例如文件创建、删除、修改等。它主要用于实时监控文件系统的变化，而不是查找当前打开文件的进程。例如，
```
inotifywait -m /path/to/your/file
```
登录后复制
可以实时监控
```
/path/to/your/file
```
登录后复制
的变化。