lsof命令可用于查看Linux系统中进程打开的文件，支持按PID、用户、路径、文件类型等条件查询，并能监控网络连接和发现已删除但仍在占用的文件。
如果您需要查看某个进程在Linux系统中打开了哪些文件，可以使用lsof命令进行实时监控和详细查询。该命令能够列出当前系统中所有打开的文件及其对应的进程信息。
本文运行环境：Dell XPS 13，Ubuntu 24.04
一、基本语法与进程文件查看
lsof（List Open Files）是一个强大的工具，用于显示当前系统中被打开的文件，包括普通文件、目录、设备、套接字等。每个运行中的进程都可能打开一个或多个文件。
1、打开终端并输入以下命令以查看所有打开的文件：
lsof
2、若要查看特定进程打开的文件，先获取进程PID，然后执行：
lsof -p PID，其中PID为实际进程号。
二、按用户查找打开的文件
通过指定用户名，可以筛选出该用户所运行的所有进程中打开的文件，便于权限审计或资源追踪。
1、使用以下命令查看某用户打开的所有文件：
lsof -u username，将username替换为目标用户名。
2、若要排除某个用户的文件列表，可在用户名前加^符号：
lsof -u ^root 表示列出非root用户打开的文件。
三、查找被删除但仍被占用的文件
当一个文件被删除但仍有进程在使用时，该文件仍会保留在磁盘上直到进程关闭。利用lsof可识别此类文件，帮助释放磁盘空间。
1、执行以下命令查找已被删除但仍在使用的文件：
lsof +L1
2、在输出结果中，查看“NAME”列包含“(deleted)”标识的条目，这些即为已删除文件。
四、按文件类型或路径过滤结果
为了缩小搜索范围，可以通过指定目录或文件路径来限制lsof的输出内容，提高排查效率。
1、查看某个目录下被打开的文件：
lsof +D /path/to/directory
2、精确查找某个具体文件是否被打开：
lsof /var/log/syslog
五、监控网络连接相关的文件句柄
网络套接字在Linux中也被视为打开的文件。lsof可用于查看进程的网络活动，如监听端口和建立的连接。
1、列出所有打开的网络连接：
lsof -i
2、查看特定协议（如TCP）的连接情况：
lsof -i TCP
3、检查某个端口是否被占用，例如80端口：
lsof -i :80
