inotify事件会丢失，因其固定大小的内核事件队列（默认16384字节）易被大量小文件撑爆，导致IN_MOVED_TO/IN_CREATE等事件静默丢弃；需调大fs.inotify.max_user_watches、循环read、处理IN_Q_OVERFLOW并监控具体子目录。
用 inotify 监控目录变更时，为什么事件会丢失？
Linux 下最直接的方案是 inotify，但它不是“订阅即收全”——IN_MOVED_TO 和 IN_CREATE 可能因队列溢出（inotify_add_watch 返回 -1 或 read() 返回 0）或内核缓冲区满而静默丢弃。关键点在于：inotify 的 event queue 是固定大小（默认 16384 字节），单个 struct inotify_event 至少 16 字节，但文件名长度不固定，大量小文件并发写入极易撑爆缓冲。
实操建议：
立即学习“C++免费学习笔记（深入）”；
- 调大内核参数：
sysctl -w fs.inotify.max_user_watches=524288（需 root，且要写入/etc/sysctl.conf持久化） - 每次
read()必须循环读完全部可用事件，不能只读一次就select()等待下一轮 - 对
IN_Q_OVERFLOW事件必须处理：触发全量扫描 + 重置 watch，否则后续变更彻底不可见 - 避免监控整个
/tmp这类高频写入路径；优先监控具体业务子目录（如/var/log/myapp/）
如何让 C++ 程序在后台持续运行并可靠重启？
Watchdog 本质是长期存活的服务，不能靠终端前台运行。直接用 systemd 托管是最稳妥的方案，比自己 fork + setsid 更可靠。
实操建议：
立即学习“C++免费学习笔记（深入）”；
- 写一个最小 unit 文件（如
/etc/systemd/system/filewatchd.service），核心配置项必须包含：Restart=always、RestartSec=5、StartLimitIntervalSec=0（禁用启动频次限制） - 二进制必须使用绝对路径启动，且确保其依赖的库（如
libinotify.so）在LD_LIBRARY_PATH或系统路径中 - 日志不要只打到
stdout，加StandardOutput=journal和StandardError=journal，方便用journalctl -u filewatchd查问题 - 避免在
ExecStart=中用bash -c "..."包裹，systemd 对 shell 元字符解析有坑，直接写可执行路径
报警逻辑里，怎样避免重复发邮件或钉钉消息？
文件变动本身高频（比如日志轮转触发 IN_MOVED_FROM+IN_MOVED_TO 成对出现），但报警需要抑制噪声。硬 sleep 不可靠，得靠状态机+时间窗口。
实操建议：
立即学习“C++免费学习笔记（深入）”；
- 对每个监控路径维护一个
last_alert_time时间戳，同路径 5 分钟内只报一次（用std::chrono::steady_clock判断） - 报警前先做轻量级确认：比如检测到
IN_CREATE后，stat()一下该文件大小是否 >0，排除空文件误报 - 把报警动作（如调用
curl发钉钉）做成异步任务，主监控线程只负责入队，避免阻塞 inotify 事件读取 - 记录报警摘要到本地文件（如
/var/run/filewatchd.alerts），程序重启后能加载历史，防止同一问题重启后又告警
跨平台方案为什么不该用 boost::filesystem 轮询？
boost::filesystem 没有原生事件监听能力，所谓“跨平台 Watchdog”实际就是定时 directory_iterator 扫描，CPU 和 IO 开销巨大，且延迟不可控（最小间隔受制于 sleep 精度和扫描耗时）。
实操建议：
立即学习“C++免费学习笔记（深入）”；
- Linux 就老实用
inotify；macOS 用FSEvents（通过libdispatch）；Windows 用ReadDirectoryChangesW—— 别试图抽象成统一接口，各平台语义差异太大 - 如果真要写跨平台代码，用预编译宏分条件编译，而不是 runtime 动态选后端
- 轮询仅作为 fallback：比如 inotify 初始化失败时降级为 30 秒一次扫描，并立刻记录 ERROR 日志
- 轮询时务必用
std::filesystem::last_write_time()比较时间戳，别用文件大小或名称判断变更，否则漏掉覆盖写场景
真正的难点不在监听本身，而在事件去重、崩溃恢复、资源泄漏防护——比如忘记 inotify_rm_watch() 会导致 fd 泄漏，跑一周后进程被系统 kill。这些细节比语法更决定 Watchdog 是否能活过第一个生产环境周末。
