ps aux 中带方括号的命令（如[kthreadd]）是内核线程的标准显示格式，由内核在task_struct中直接写入，表示其运行于内核空间、无用户态可执行文件、不可被kill -9终止。
![ps aux 显示进程命令行被隐藏（[kthreadd] 风格）的真实含义](https://img.php.cn/upload/article/001/242/473/176889139747860.jpeg)
ps aux 中看到 [kthreadd] 这类带方括号的命令行，不是“被隐藏”，而是内核线程（kernel thread）的固定显示格式——它代表该进程是内核直接创建、运行在内核空间、不对应任何用户态可执行文件的特殊进程。
为什么用方括号包裹命令名
Linux 内核约定：所有内核线程的 COMMAND 列统一用 [ ] 括起其名字。这不是 ps 命令刻意隐藏，而是内核在填充进程描述符（task_struct）时就写入了这种格式。用户态程序（如 bash、nginx）则显示真实路径或命令名，不加括号。
- kthreadd 是内核线程管理器，负责派生其他内核线程（如 ksoftirqd、kswapd 等）
- [migration/0] 负责 CPU 0 上的进程迁移
- [ksoftirqd/1] 处理 CPU 1 上的软中断
- [rcu_gp] 执行 RCU（Read-Copy-Update）宽限期管理
和用户进程的本质区别
这些方括号进程不具备以下用户进程特征：
- 没有可执行文件路径（comm 字段就是名字本身，无磁盘映像）
- 不关联任何终端（TTY 列恒为 ?）
- RSS 和 VSZ 通常极小，且不计入用户内存统计
- 无法用 kill -9 强制终止（除极少数调试场景外，系统不允许）
- STAT 字段常见为 S（可中断睡眠）或 R（运行中），但绝不会是 Z（僵尸）或 T（停止）
如何确认一个进程是不是内核线程
除了看 COMMAND 是否带 [ ]，还可检查两个关键字段：
- USER 列为 root 且 PID 通常 ≤ 2（kthreadd PID 固定为 2，init 为 1）
- RSS 很小（几十 KB），而同名用户进程（如叫 nginx 的）RSS 动辄几 MB 以上
- 用
cat /proc/查看第 10 字段（flags）：若包含 PF_KTHREAD 标志，即为内核线程/stat
别误判成“异常隐藏”或“可疑进程”
像 [jbd2/sda1-8]（ext4 日志线程）、[kauditd]（审计守护线程）这类名称，虽然带设备或功能后缀，仍是标准内核组件。只要出现在主流发行版默认内核中，且 PID 小、RSS 低、无终端，就无需担心。真正需警惕的是：用户态进程伪装成方括号名（极罕见，多见于高级 rootkit），此时需结合 /proc/
