应使用 watch -n 0.5 'ls /proc/[pid]/fd | wc -w' 每半秒刷新数量观察跳变，配合 grep socket 定位新增 socket fd；避免用 lsof 或 /proc/[pid]/status 的 FDs 字段，因其有延迟、开销大或不准确。
怎么用 /proc/[pid]/fd 实时观察 fd 分配变化
想看到文件描述符“怎么涨的”，不能只查一次总数，得盯住 /proc/[pid]/fd 目录的实时变化。这个目录本质是内核动态生成的符号链接集合，每次 ls 都是即时快照。
常见错误是反复执行 ls -l /proc/[pid]/fd | wc -l 手动计数——容易漏掉瞬时 fd（比如短连接 socket），也看不出增长节奏。
- 用
watch -n 0.5 'ls /proc/[pid]/fd | wc -w'每半秒刷新一次数量，能直观看到跳变点 - 配合
ls -l /proc/[pid]/fd | grep socket可快速定位新增的 socket fd，判断是否泄漏 - 如果发现 fd 编号从 3 开始一路飙到 1000+，但程序逻辑只该开几十个，大概率是
open()或socket()后没调close()
为什么 lsof -p [pid] 不适合看走势
lsof -p [pid] 输出的是某一时刻的全量快照，且默认带表头、含重复字段（如 cwd、root），wc -l 统计结果比真实 fd 数多 1–2 行，不适合做连续对比。
更关键的是：它会触发内核遍历所有 fd 的 inode 和 dentry 信息，开销比单纯读 /proc/[pid]/fd 高得多，频繁调用可能干扰被测进程本身。
- 真要用
lsof，加-n -P参数禁用 DNS/端口解析，减少延迟 - 避免在高并发服务上用
lsof -p [pid] | grep REG这类管道链，容易卡住 - 统计时务必减去表头行：
lsof -p [pid] 2>/dev/null | tail -n +2 | wc -l
cat /proc/[pid]/status 里的 FDs 字段不准怎么办
cat /proc/[pid]/status | grep FDs 显示的 FDs 是内核缓存值，更新有延迟，且不包含已分配但尚未使用的槽位（比如预分配的 eventfd）。它只适合粗略判断“有没有明显超限”，不能反映实时分配路径。
典型误导场景：程序刚 close() 一个 fd，FDs 还维持原值几秒；或者用了 epoll_create1()，FDs 不增但实际占用了新槽位。
- 别依赖
FDs做自动化告警阈值，它和ls /proc/[pid]/fd | wc -w差值超过 5 就说明缓存滞后 - 想确认是否真泄漏，必须比对
ls /proc/[pid]/fd的实际条目和代码中预期打开数 -
FDSize字段才是当前分配的总槽数，但它是静态上限，不是实时使用量
如何关联 fd 编号和业务逻辑
光知道 fd=47 是 socket 不够，得知道它对应哪次请求、哪个 client IP、甚至哪行代码打开的。这时候不能只靠 ls -l /proc/[pid]/fd/47 看链接目标——很多 fd 指向 anon_inode:[eventpoll] 或 socket:[123456]，没路径信息。
真正有效的做法是结合 /proc/[pid]/fdinfo/47：
-
readlink /proc/[pid]/fd/47能看出是否指向文件、pipe、socket -
cat /proc/[pid]/fdinfo/47里pos字段对普通文件有意义，flags显示 O_CLOEXEC 等标志，mnt_id可辅助溯源挂载点 - 如果是 socket，
cat /proc/[pid]/net/tcp | grep "inode:123456"（用 fdinfo 里的 inode 号）能查到本地/远程地址和状态
复杂服务里 fd 分配路径往往嵌套多层（比如 fork 后子进程继承、线程间共享），单看编号容易误判。最可靠的走势分析，永远是从代码里找 open/socket/dup 调用点，再用 strace -p [pid] -e trace=open,socket,close,dup 实时捕获系统调用流——这才是分配“走势”的源头证据。
