最可靠起点是执行java -XshowSettings:properties 2>&1 | grep 'java.home'，由JVM直接输出其实际加载的JDK根目录（非JRE或bin子目录），避免环境变量干扰和符号链接误导。
java -XshowSettings:properties 2>&1 | grep 'java.home' 是最可靠的起点
这条命令直接让 JVM 自己告诉你它从哪加载，不依赖环境变量、不被符号链接干扰，也不需要你一层层 ls -l 追踪。输出里 java.home 的值就是 JDK 根目录（注意：不是 JRE 子目录），比如 /usr/lib/jvm/java-17-openjdk-amd64。
常见错误是只跑 java -version 就以为版本对了路径就稳了——它不暴露路径；也别信 which java 返回的 /usr/bin/java，那只是个壳。
- 该命令在 OpenJDK 8+ 全系支持，包括所有主流发行版（Debian/Ubuntu/CentOS/RHEL/Fedora）
- 如果提示 “Unrecognized option”，说明用的是极老的 OpenJDK 7 或更早，得换其他方法
- 输出里若含
jre路径（如.../jre/bin/java），往上提一级才是 JDK 根目录
readlink -f $(which java) + dirname ×2 是手动追踪的兜底方案
当 java -XshowSettings 不可用，或你想确认二进制文件是否真从那个 java.home 加载时，就得靠符号链接拆解。核心逻辑是：找到真实可执行文件 → 去掉 /bin/java → 再去掉 /jre（如果有）。
典型链路：/usr/bin/java → /etc/alternatives/java → /usr/lib/jvm/java-11-openjdk-amd64/bin/java。最后那个路径的父目录的父目录才是 JDK 根目录。
Linux 安全审计工具，检查 SSH 配置、开放/监听端口、防火墙规则（ufw/iptables/nftables）、失败登录尝试、sudoers 权限...
- 一步到位命令：
dirname $(dirname $(readlink -f $(which java))) - 如果输出结尾是
/jre（如/usr/lib/jvm/.../jre），说明装的是 JRE 包，不是完整 JDK；此时需检查是否装了-devel包（如java-11-openjdk-devel） - 遇到
readlink: missing operand，大概率which java没返回任何东西——先确认java -version能跑通
update-alternatives --list java 适合多版本共存场景
在用了 update-alternatives 管理多个 Java 版本的系统（如 Ubuntu/Debian 默认行为），这个命令能一次性列出所有注册过的 JDK/JRE 路径，比翻 /usr/lib/jvm/ 更准。
输出每行都是一个完整路径，例如：/usr/lib/jvm/java-8-openjdk-amd64/jre/bin/java。你只需对每行做一次 dirname $(dirname ...)，就能批量得到所有 JDK 根目录。
- 它不显示未注册到 alternatives 的手动安装路径（比如 tar.gz 解压到
/opt/jdk） - 如果报错
no alternatives for java，说明系统没走 alternatives 机制，直接看/usr/lib/jvm/目录更高效 - 配合
sudo update-alternatives --config java可快速切换默认版本，验证路径是否生效
echo $JAVA_HOME 只能作参考，不能当事实
这个变量常被误认为“权威路径源”，但它只是用户或管理员设的一个字符串，和当前 java 命令实际指向完全可能不一致。比如 $JAVA_HOME 指向 /opt/jdk8，但 java -version 显示的是 OpenJDK 17 —— 这种错位在线上环境很常见。
它唯一可靠的作用是：如果你刚配好环境变量且没重启 shell，echo $JAVA_HOME 和 java -XshowSettings 输出一致，那基本可以采信。
- 空输出 ≠ 没装 JDK，只代表变量没设
- 输出路径下若没有
bin/javac，大概率只是 JRE 或配置错误 - CI/CD 脚本里硬依赖
$JAVA_HOME而不校验java.home，上线后容易因环境差异失败
java-xx-openjdk-headless），java.home 指向的是 /jre 子目录，这时你得额外确认 javac 是否可用，否则编译会直接失败。 
