接触linux的人应该会碰到这个的需求，想要看哪些人正在使用指定的文件或目录，或者说指定用户正在使用哪些文件，甚至是一个进程正在使用什么文件或网络连接；当然，原因可能是想排查故障，查找非法用户进程操作等，所以这个需求还是很有必要的，lsof可以帮你实现你的需求。

linux

lsof简介

lsof(list open files)是一个列出当前系统打开文件的工具。在linux环境下，任何事物都以文件的形式存在，通过文件不仅仅可以访问常规数据，还可以访问网络连接和硬件。

linux一切皆文件

lsof命令输出含义

lsof不接任何参数即可显示系统打开的所有文件，因为 lsof 需要访问核心内存和各种文件，所以必须以 root 用户的身份运行。

lsof输出

COMMAND：进程的名称。

PID：进程标识符。

USER：进程所有者。

FD：文件描述符，应用程序通过文件描述符识别该文件。如cwd、txt等。

TYPE：文件类型，如DIR、REG等。

DEVICE：设备号，指定磁盘的名称。

SIZE：文件的大小。

NODE：索引节点(文件在磁盘上的标识)。

NAME：打开文件的确切名称。

其中FD列中的文件描述符cwd值表示应用程序的当前工作目录，这是该应用程序启动的目录，除非它本身对这个目录进行更改。txt类型的文件是程序代码，如应用程序二进制文件本身或共享库，如上图中显示的/sbin/init程序。其次数值表示应用程序的文件描述符，这是打开该文件时返回的一个整数。如上图某些文件描述符为数字接后面接u/r/w/W。u表示该文件被打开并处于读取/写入模式，而不是只读r或只写w模式。同时还有大写的W 表示该应用程序具有对整个文件的写锁。该文件描述符用于确保每次只能打开一个应用程序实例。初始打开每个应用程序时，都具有三个文件描述符，从0到2，分别表示标准输入、输出和错误流。所以大多数应用程序所打开的文件的FD都是从3开始。与FD列相比，Type 列则比较直观，文件和目录分别称为REG和DIR；而CHR和BLK，分别表示字符和块设备；UNIX、FIFO和IPv4，分别表示UNIX域套接字、先进先出(FIFO)队列和网际协议(IP)套接字。

常用参数

lsof filename 显示打开指定文件的所有进程。

lsof -a 表示两个参数都必须满足时才显示结果(当然，要接上参数)。

lsof -c string 显示COMMAND列中包含指定字符的进程所有打开的文件。

lsof -u username 显示所属user进程打开的文件。

lsof -g gid 显示归属gid的进程情况。

lsof +d /DIR/ 显示目录下被进程打开的文件。

lsof +D /DIR/ 同上，但是会搜索目录下的所有目录，时间相对较长。

lsof -d FD 显示指定文件描述符的进程。

lsof -n 不将IP转换为hostname，缺省转换。

lsof -i 用以显示符合网络连接条件的进程情况。

lsof -i[46] [protocol][@hostname|hostaddr][:service|port]

46 --> IPv4 or IPv6

protocol --> TCP or UDP

hostname --> Internet host name

hostaddr --> IPv4地址

service --> /etc/service中的 service name (可以不只一个)

port --> 端口号 (可以不只一个)

例如查看80端口被哪个进程占用及网络连接详情：

lsof -i :80

lsof +|-r [t] 控制lsof不断重复执行，缺省是15s刷新。

-r，lsof会永远不断的执行，直到收到中断信号。

+r，lsof会一直执行，直到没有档案被显示。

例如不断查看目前ftp连接的情况：

lsof -i tcp@192.168.1.100:ftp -r