lsof查指定文件常漏掉写入进程，因默认仅显示当前持有fd的进程，而日志轮转rename后未关闭fd、open(O_TRUNC)覆盖写未刷新缓冲区等场景下，进程可能已释放句柄或仅间接访问；需用sudo、+L1、-Pn等参数或改用find /proc/*/fd排查。
lsof 查指定文件时为什么经常查不到正在写入的进程？
因为 lsof 默认只显示当前仍持有该文件打开句柄（open file descriptor）的进程，而某些场景下——比如日志轮转中旧文件被 rename() 但原进程未关闭 fd、或程序用 open(O_TRUNC) 覆盖写后未刷新缓冲区——文件虽在磁盘上存在，但进程可能已释放句柄或仅通过路径名间接访问。此时需配合 -R（显示关联的父进程）、+D（递归目录扫描）或实时轮询来捕捉瞬态占用。
准确查某个文件被哪些进程打开：基础命令与关键参数
直接运行：lsof /path/to/file 是最简方式，但容易漏掉以下情况：
- 路径是符号链接时，
lsof默认按目标路径匹配，若想按链接本身查，得加-Pn避免解析端口/主机名干扰，再用-F或awk过滤原始输出 - 文件已被删除但句柄仍被持有（显示为
(deleted)），此时必须加+L1才能列出这类“幽灵占用” - 普通用户执行时看不到其他用户的进程，需
sudo lsof /path/to/file - 若文件在 NFS 或 procfs 等特殊文件系统上，
lsof可能返回空，这时要换用find /proc/*/fd -ls 2>/dev/null | grep 'filename'
实时监控文件占用变化：用 watch + lsof 组合避坑
watch -n 0.5 'lsof -t /path/to/file 2>/dev/null | xargs -r ps -o pid,comm,etime' 比单纯 watch lsof 更实用，原因如下：
Linux Security Scanner
下载
Linux 安全审计工具，检查 SSH 配置、开放/监听端口、防火墙规则（ufw/iptables/nftables）、失败登录尝试、sudoers 权限...
-
-t输出纯 PID，避免列头干扰管道处理 -
xargs -r ps确保无 PID 时不报错（-r是 GNU 特性，macOS 需改用if [ -n "$(lsof -t ...)" ]判断） -
etime显示进程启动至今的秒数，比time更适合判断是否为新起的写入进程 - 注意：频繁调用
lsof会扫全系统 fd，对负载敏感的生产环境建议间隔 ≥1s，且避免在/proc高频变更的节点（如容器密集宿主）上长期运行
常见误判场景：/proc/self/fd/ 下的数字链接不是“占用”，而是“访问痕迹”
看到 ls -l /proc/1234/fd/ | grep filename 有匹配，不等于进程 1234 正在占用该文件——它可能只是曾经 open() 过又 close() 了，但 fd 号尚未复用；也可能只是通过 /proc/self/fd/3 方式重定向访问过。真正有效的判断依据只有两个：
-
lsof -p 1234 | grep filename—— 确认该进程当前 fd 表里是否存在对应条目 -
readlink /proc/1234/fd/3返回实际路径且与目标一致，并且lsof -d 3 -p 1234显示状态为REG或DEL（非can't identify protocol）
很多脚本把 fd 数字存在就当“正在占用”，结果杀错进程，根源就在这里。
