linux lsof 命令

lsof（list open files）是 Linux 系统中的一个非常实用的命令行工具，用于显示当前系统中被打开的文件以及关联的进程信息。在 Linux 中，“一切皆文件”的思想使得 lsof 不仅可以查看普通文件，还可以查看网络连接、设备、管道、套接字等资源。

lsof 基本语法

lsof [参数] [文件或目录]

常用参数说明

常用操作示例

1. 查看系统中所有已打开的文件

lsof

此命令将列出所有正在使用的文件，包括普通文件、目录、设备文件、网络连接等。

2. 查看特定进程打开的文件

实例

lsof -p 1234 # 显示 PID 为 1234 的进程所打开的文件
lsof -c nginx # 查找所有运行 nginx 的进程打开的文件

3. 查看网络连接状态

实例

lsof -i # 列出所有网络连接
lsof -i :80 # 显示占用 80 端口的所有连接
lsof -i TCP # 查看所有 TCP 类型的连接

4. 查看某个用户打开的文件

lsof -u root  # 查看 root 用户打开了哪些文件

5. 查找已被删除但仍在使用的文件

lsof | grep deleted

这种情况通常发生在日志文件被删除但进程还在写入时，造成磁盘空间未释放的问题。

6. 查看某个目录下的打开文件

lsof +D /var/log  # 查看 /var/log 目录下被打开的文件

输出字段含义解释

lsof 输出的主要列如下：

COMMAND    PID   USER   FD      TYPE     DEVICE  SIZE/OFF    NODE NAME

• COMMAND：进程名
• PID：进程标识符
• USER：运行该进程的用户
• FD：文件描述符
  • cwd：当前工作目录
  • txt：程序本身代码文件
  • mem：内存映射文件
  • 0u、1u、2u：标准输入、输出、错误
• TYPE：文件类型（REG 普通文件，DIR 目录，CHR 字符设备等）
• DEVICE：设备编号
• SIZE/OFF：文件大小或当前位置
• NODE：inode 编号
• NAME：文件路径或挂载点

高级用途举例

1. 查找占用某端口的进程

lsof -i :8080

当你尝试启动服务却发现端口被占用了，这个命令可以帮助你快速定位到具体进程。

2. 恢复误删文件

如果文件被删除但仍被进程占用，可通过 /proc 文件系统恢复：

实例

lsof | grep deleted # 找到被删除文件及对应的进程
ls -l /proc//fd # 查看该进程的文件描述符
cp /proc//fd/ /path/to/recovery # 将文件复制出来

3. 实时监控文件访问情况

watch -n 1 'lsof /path/to/file'

可用于观察某个文件是否正被其他进程频繁访问。

常见问题排查方法

1. 磁盘空间不足但找不到大文件

lsof | grep deleted

找出那些已被删除但仍被占用的文件，重启相关进程即可释放空间。

2. 设备无法卸载

lsof /mount/point

查找当前正在使用该挂载点的进程，关闭后再尝试卸载。

3. 排查网络连接异常

lsof -i -n -P

查看所有网络连接信息，帮助解决端口冲突或连接失败等问题。

性能优化建议

尽管 lsof 功能强大，在生产环境中使用时仍需注意以下几点：

1. 使用 lsof 不加任何过滤会扫描整个系统，可能影响性能
2. 推荐结合 -p、-u、-i 等参数缩小搜索范围
3. 在脚本中使用 -t 参数只获取 PID，减少输出解析负担

类似功能替代工具

虽然 lsof 是首选工具，但在某些情况下也可以考虑以下替代品：

1. fuser：快速查询哪些进程在使用某个文件或 socket
2. ss/netstat：专注于网络连接信息
3. ps：配合 /proc 文件系统也能获取部分相关信息

总结

lsof 是 Linux 运维人员和开发者的必备工具之一，掌握它有助于：

1. 快速发现资源占用瓶颈
2. 解决文件或网络相关的疑难问题
3. 更好地了解系统运行状况
4. 处理各种“文件被占用”场景

建议在实际工作中多加练习，灵活组合不同参数，逐步挖掘其全部潜力。