直接查看 /proc/[pid]/fd 下的符号链接最可靠，每个数字项指向真实资源，可确认 fd 当前实际连接对象；但 socket:[...] 需结合 readlink 或 lsof 进一步区分类型，FDs 值不准，应以 ls /proc/[pid]/fd | grep -E '^[0-9]+$' 计数为准。
怎么用 /proc/[pid]/fd 看清 fd 的实际指向
直接看符号链接最可靠，/proc/[pid]/fd 下每个数字项都是一个软链接，指向真实资源。它不依赖外部工具，也不受权限限制（只要能读该进程的 proc 目录），是唯一能确认“这个 fd 此刻到底连着什么”的方式。
常见错误现象：看到 14 -> socket:[123456] 就以为是 TCP 连接，其实可能是 eventfd、timerfd 或 epoll —— 它们全显示为 socket:[...]，但类型完全不同。
- 执行
ls -l /proc/1234/fd，注意末尾箭头后的路径内容 - 对疑似 socket 的 fd，用
readlink -f /proc/1234/fd/14可强制解析，但部分 anon_inode 类型仍返回原样 - 若看到
-> 'anon_inode:[eventpoll]'，说明是 epoll 实例；-> 'anon_inode:[timerfd]'是定时器；-> /dev/shm/xxx是共享内存段 - 不要只数行数判断 fd 数量，
.和..也会被ls列出，应过滤纯数字：ls /proc/1234/fd | grep -E '^[0-9]+$' | wc -w
lsof -p [pid] 显示 fd 类型和访问模式的细节
lsof 能补全 /proc/[pid]/fd 缺失的语义信息：比如一个 fd 是只读打开文件、还是可读写 socket、是否处于监听状态、对方地址是什么——这些在符号链接里完全不可见。
容易踩的坑：默认输出包含表头，直接 lsof -p 1234 | wc -l 会多算一行；且普通用户运行时可能因权限缺失漏掉 root 进程的部分 fd。
Linux 安全审计工具，检查 SSH 配置、开放/监听端口、防火墙规则（ufw/iptables/nftables）、失败登录尝试、sudoers 权限...
- 加
-n避免 DNS 反查拖慢输出：lsof -n -p 1234 - 关注
FD列：数字表示 fd 编号，u是读写，r是只读，w是只写；DEL表示已 unlink 但未 close 的文件 - 看
TYPE列区分：是REG（普通文件）、DIR、CHR（字符设备）、IPv4、unix还是znode（ZooKeeper） - 对网络 fd，
NAME列会显示192.168.1.100:22->10.0.0.5:54322这类双向地址，比readlink有用得多
为什么 cat /proc/[pid]/status 的 FDs 值不准
FDs 字段只是内核快照值，不是实时精确计数。它反映的是进程 task_struct 中 files_struct 的 fdt->max_fds 和当前已分配槽位数，但不保证所有槽位都有效——比如某个 fd 已 close，但内核尚未回收该槽位，或存在 race condition。
典型场景：程序刚调用 close(3)，但还没来得及刷新 /proc/[pid]/status，此时 FDs 仍显示 4；或者大量短连接导致 fd 快速复用，FDs 滞后于 /proc/[pid]/fd 目录的实际条目数。
- 永远别用
FDs做监控告警阈值，它波动大、延迟高 -
FDSize是分配的总槽数，不是上限；真正上限由ulimit -n决定，可通过cat /proc/[pid]/limits | grep "Max open files"查看 - 要验证 fd 泄漏，必须对比连续两次
ls /proc/[pid]/fd | grep -E '^[0-9]+$'的输出差异，而不是看FDs变化
fd 在进程间传递时如何确认状态
Linux 中 fd 传递只发生在 Unix domain socket 上（SCM_RIGHTS），没有网络协议栈参与。接收方收到 fd 后，内核会为其分配新编号，但指向同一内核 file 结构体——所以两个进程的 fd 共享 seek 位置、flags、锁等状态。
难点在于：你无法从接收方单看 /proc/[pid]/fd 知道这个 fd 是自己 open 的，还是别人传来的。唯一线索是它的创建时间戳是否明显晚于进程启动时间，以及是否与发送方 fd 指向相同 inode 或 socket 号。
- 用
stat /proc/[pid]/fd/[fd_num]查看Birth时间（如果文件系统支持），与ps -o lstart= -p [pid]对比 - 对 socket fd，用
lsof -n -p [pid]查其NAME，再在发送方进程里找同名 socket（如socket:[1234567]） - 若双方都在调试中，可在发送前用
ioctl(fd, FIOCLEX, 0)清除 close-on-exec 标志，接收后立刻fcntl(new_fd, F_GETFD)验证是否可继承——这是传递成功的间接证据 - 注意：
fork()复制的 fd 不算“传递”，父子进程 fd 指向同一 file，但编号相同，无需额外验证
/proc/[pid]/fd 是事实，lsof 是解释，/proc/[pid]/status 是概览。三者不一致时，以 ls -l /proc/[pid]/fd 为准，其他都是辅助。 
