在Linux系统中,进程与文件的交互是系统运行的核心环节，无论是排查文件占用、释放资源，还是调试程序异常，准确查看进程使用的文件都是关键技能，本文将详细介绍Linux中查看进程使用文件的多种方法，涵盖常用命令、系统文件及实际应用场景，帮助读者全面掌握这一技能。
使用lsof命令查看进程打开的文件
lsof（List Open Files）是Linux中最常用的文件查看工具，它可以列出系统中所有被进程打开的文件，包括普通文件、目录、管道、网络套接字、设备文件等，其功能强大且灵活，支持多种过滤条件，是排查文件问题的首选工具。
基本语法与常用选项
lsof的基本语法为lsof [选项] [文件/目录/进程ID]，常用选项包括：
-p：指定进程ID，查看特定进程打开的文件，如lsof -p 1234查看PID为1234的进程文件。-u：指定用户，查看某个用户打开的所有文件，如lsof -u tom查看用户tom的进程文件。-i：显示网络相关的文件（如TCP/UDP套接字），如lsof -i :80查看监听80端口的进程。-d：按文件描述符筛选，如lsof -d 2查看描述符为2的文件（标准错误）。+d/+D：递归查看指定目录下的文件，+d仅显示当前目录，+D递归遍历子目录，如lsof +d /var/log查看/var/log目录下被打开的文件。-n：不解析主机名（显示IP而非域名），适用于网络文件查看。-P：不解析端口号（显示数字端口），如lsof -i -P显示IP和数字端口。
实际应用示例
-
查看某个进程打开的所有文件：
若需查看nginx主进程（PID通常为1）的文件，可通过ps aux | grep nginx获取PID，再用lsof -p 1，输出包括文件描述符、访问权限、文件类型、文件路径等，COMMAND PID USER FD TYPE DEVICE SIZE/OFF NODE NAME nginx 1 root cwd DIR 8,1 4096 2 / nginx 1 root rtd DIR 8,1 4096 2 / nginx 1 root 0u REG 8,1 5432 1234 /var/log/nginx/access.log其中
FD列的u表示读写权限，r只读，w只写；TYPE列的REG表示普通文件，DIR表示目录，IPv4表示网络套接字。 -
查看某个文件被哪些进程占用：
若文件/data/test.log被占用无法删除，使用lsof /data/test.log可查看占用进程，输出示例：COMMAND PID USER FD TYPE DEVICE SIZE/OFF NODE NAME myapp 5677 tom 3u REG 8,1 1048576 5678 /data/test.log可通过
kill -9 5677终止进程释放文件（谨慎使用kill -9）。 -
查看网络连接情况：
查看所有监听TCP端口的进程：lsof -i TCP -s TCP:LISTEN，输出包含协议、本地地址、PID和进程名，便于排查端口占用问题。
使用fuser命令查看文件系统的进程
fuser是另一个实用的工具，主要用于查看正在使用指定文件、文件系统或挂载点的进程，支持显示进程ID、用户名、访问类型（如文件、目录、块设备等），与lsof相比，fuser更侧重于文件系统级别的进程定位。
基本语法与常用选项
fuser的基本语法为fuser [选项] 文件/目录/挂载点，常用选项包括：
-v：显示详细信息（进程名、PID、用户、访问类型），如fuser -v /mnt/data。-k：杀死占用文件的进程，如fuser -k /tmp/test.log（默认发送SIGTERM信号，可用-9强制SIGKILL）。-m：指定挂载点，查看整个挂载点被占用的进程，如fuser -m /dev/sda1。-i：杀死进程前提示确认，避免误操作，如fuser -ik /var/log。-a：显示所有指定文件的访问信息，即使未被占用。
实际应用示例
-
查看挂载点被占用的进程：
若卸载/mnt/usb时提示“device busy”，使用fuser -v /mnt/usb可查看占用进程：USER PID ACCESS COMMAND /mnt/usb: root 123 ..c.. bash tom 456 rw-- myappACCESS列中c表示当前目录，r表示读，w表示写，表示无访问权限。 -
强制终止占用进程：
若/var/log目录被占用无法清理，可使用fuser -ik /var/log，系统会提示确认后终止相关进程。
通过/proc文件系统查看进程文件
Linux的/proc是一个虚拟文件系统，内核通过它向用户空间暴露进程信息，每个进程在/proc下对应一个PID目录（如/proc/1234），其中包含进程的详细信息，包括打开的文件描述符。
关键文件说明
/proc/PID/fd/：目录下包含所有文件描述符的符号链接，数字为描述符编号，指向实际文件（如/proc/1234/fd/0指向标准输入）。/proc/PID/fdinfo/：包含文件描述符的详细信息（如文件位置、标志位）。/proc/PID/cwd：指向进程的当前工作目录（符号链接）。/proc/PID/exe：指向进程的可执行文件（符号链接）。/proc/PID/maps：显示进程的内存映射，包括文件映射信息。
查看方法示例
-
查看进程的文件描述符：
若需查看PID为1234的进程打开的文件，进入/proc/1234/fd目录：ls -l /proc/1234/fd
输出示例：
lr-x------ 1 tom tom 64 Oct 20 10:30 0 -> /dev/pts/0 l-w------ 1 tom tom 64 Oct 20 10:30 1 -> /dev/pts/0 lrwx------ 1 tom tom 64 Oct 20 10:30 2 -> /dev/pts/0 lr-------- 1 tom tom 64 Oct 20 10:31 3 -> /data/config.conf其中数字0、1、2分别对应标准输入、输出、错误，3为进程打开的配置文件。
-
查看进程的当前工作目录：
通过cat /proc/1234/cwd可获取进程的当前工作目录，输出为路径符号链接的目标。
常用工具对比与选择
为方便选择,以下将lsof、fuser和/proc文件系统对比：
| 工具/方法 | 主要功能 | 优点 | 缺点 | 适用场景 |
|---|---|---|---|---|
lsof |
列出进程打开的所有文件（含网络） | 功能全面，支持多种过滤条件 | 需安装（部分系统默认无） | 精确查找进程与文件的关联 |
fuser |
查看文件系统/挂载点的占用进程 | 轻量级，支持批量操作 | 信息较简单，不支持网络文件详情 | 快速定位文件系统占用问题 |
/proc文件系统 |
直接查看进程内核信息 | 无需安装，信息最底层、最准确 | 需手动解析文件，不够直观 | 深度调试、底层分析 |
注意事项
- 权限问题：普通用户只能查看自己的进程文件，root用户可查看所有进程。
- 性能影响：
lsof在大量进程时可能较慢，建议结合grep过滤（如lsof | grep "test.log"）。 - 符号链接：
lsof默认解析符号链接，若需查看原始链接，可加-L选项（lsof -L /proc/1234/fd）。 - 文件描述符泄漏：若发现进程异常打开大量文件（如
fd数量过多），需检查程序是否未正确关闭文件描述符。
相关问答FAQs
Q1: 为什么用lsof查看不到某个进程打开的文件？
A: 可能原因包括：① 进程已终止（可通过ps aux | grep PID确认）；② 权限不足（普通用户无法查看其他用户的进程文件）；③ 文件被删除但进程仍持有描述符（此时lsof会显示(deleted)）；④ lsof未安装（需通过yum install lsof或apt install lsof安装）。
Q2: 如何批量查看多个进程打开的文件？
A: 可结合pgrep和xargs实现，例如查看所有nginx进程的文件：
pgrep -f nginx | xargs -I {} lsof -p {}
或通过awk处理ps输出，如查看用户tom的所有进程文件：
ps -u tom -o pid= | xargs lsof
若需过滤特定文件（如.log文件），可进一步用grep：
pgrep -f myapp | xargs lsof | grep ".log$"
原创文章，发布者：酷番叔，转转请注明出处：https://cloud.kd.cn/ask/19751.html
