最准查端口占用用ss -tuln（首选）、netstat -tuln（老系统）、lsof -i（查进程名），均需root权限；宝塔端口查不到需curl本地验证；云服务器还需配置安全组并手动应用。
怎么一眼看出哪个端口被谁占着？
直接看监听状态，别猜。Linux下最准的就三类命令，但得知道用哪个、什么时候用错会白忙活。
-
netstat -tuln | grep :80：兼容性最好，老系统（比如CentOS 6）必须用它；但新系统里默认不装，且执行慢——尤其进程多时卡顿明显 -
ss -tuln | grep :80：推荐首选，输出快、格式干净，ss是内核直采，比netstat少一层用户态转换；CentOS 7+/Ubuntu 18.04+都自带 -
lsof -i :80：当ss或netstat没显示进程名（只看到-或空），说明权限不够——这时lsof能穿透查到真实COMMAND和完整路径，但需先装：yum install -y lsof（CentOS）或apt install -y lsof（Debian/Ubuntu）
注意：所有带-p（显示PID/进程名）的命令，都必须用root或sudo执行，否则看不到其他用户启动的服务。
查到PID后，怎么判断是不是该杀？
光知道PID还不够，得确认它是不是“该让位”的那个进程。很多故障其实不是端口真冲突，而是你误杀了不该动的服务。
- 先看
ps -p PID -o pid,ppid,comm,args：查父进程和启动命令全貌。比如redis-server启动时加了--port 6380，但lsof -i :6379却看到它占着6379——那大概率是配置没生效或残留旧进程 - 再查服务管理状态：
systemctl status redis或/etc/init.d/nginx status，对比输出里的“Active”状态和实际监听端口是否一致；不一致说明服务没按配置重启 - 特别警惕
java、node、python这类通用进程名：它们可能是你自己的Web服务、爬虫或后台脚本，杀错会导致业务中断
别一看到PID就kill -9，先kill -15（软终止）试试；等几秒再lsof -i :端口确认是否释放。
宝塔面板自己的8888端口查不到监听？
这是高频误区：以为netstat没扫到8888，就断定面板挂了。其实宝塔的监听逻辑和普通服务不同。
- 面板核心进程是
bt，不是nginx或python；它用自研的异步框架监听，有时ss -tuln里看不到bt字样，但netstat -tulnp | grep panel能命中 - 更靠谱的方式是本地curl验证：
curl -I http://127.0.0.1:$(cat /www/server/panel/data/port.pl)/login——返回HTTP/1.1 200 OK说明服务活着，问题在防火墙或网络层 - 如果
bt default显示端口是8881，但ss还看到8888在LISTEN，说明改端口后没执行/etc/init.d/bt restart，配置没落地
宝塔的端口值存在/www/server/panel/data/port.pl里，不是配置文件，别去/www/server/panel/config.json里找——那是旧版路径，新版已弃用。
防火墙放行了，外网还是连不上？
云服务器上，firewall-cmd --add-port=8888/tcp只是第一步，漏掉安全组等于锁了门却忘了关窗。
- 先确认firewalld是否真运行：
systemctl status firewalld，如果显示inactive (dead)，那firewall-cmd命令根本无效，不用查规则 - 放行后必须
firewall-cmd --reload，--permanent只是存档，不重载等于没写 - 阿里云/腾讯云/华为云控制台里的“安全组”，要单独添加入方向规则，协议选
TCP，端口填8888或你改的端口，源IP建议设为0.0.0.0/0（测试用），别只信本地telnet 127.0.0.1 8888通就以为万事大吉
最常被忽略的是：改完安全组后，有些云平台需要手动点击“应用”或“保存”，页面没提示，但规则实际没生效。
