lsof 文件描述符排查速查表

lsof 列出进程打开的所有文件/网络连接，适合诊断『文件被谁占用』。fuser 更专注于『哪个进程在使用特定文件或端口』，并可直接发送信号（如 fuser -k）。两者互补，lsof 信息更全面，fuser 操作更直接。

使用 lsof -i :port 查看特定端口的监听和连接情况。例如 lsof -i :8080。为只查看监听中的 TCP 连接，使用 lsof -iTCP -sTCP:LISTEN。

lsof 默认会解析 DNS 和端口名称。加上 -n（禁止 DNS 解析）和 -P（禁止端口名解析）可以显著加速。组合使用：lsof -n -P -i。

可以通过 lsof -p PID 查看，也可以直接检查 /proc/PID/fd/ 目录：ls -la /proc/PID/fd/。后者更快且在没有 lsof 的环境也能使用。

DEL（deleted）标记表示文件已被删除但仍被进程持有文件描述符。这会导致磁盘空间未释放。通过 lsof | grep DEL 可以找到这些『幽灵文件』及其所属进程，然后重启或 kill 进程来释放空间。

lsof（List Open Files）是 Linux/Unix 系统的必备诊断工具，用于列出当前系统打开的文件、管道、网络连接等资源。本速查表涵盖基础用法、网络排查、用户进程分析及高级技巧，还包括 fuser 和 /proc 文件系统的实用命令。

更新: 2026-07-17·27 条命令

lsof（List Open Files）是一个列出进程打开文件的命令行工具。在 Unix/Linux 中一切皆文件，lsof 是排查问题的重要工具。

``bash lsof -i :80 # 查找端口 80 的监听进程 lsof -u username # 列出用户打开的文件 lsof -p PID # 列出进程打开的文件``

详细用法请参阅下方命令表格。

基本用法(8)

命令	难度	示例
`lsof` 列出当前系统所有打开的文件	基础	`lsof`
`lsof +D /path` 递归列出目录下所有打开的文件	中级	`lsof +D /var/log`
`lsof /path/to/file` 查看哪些进程正在使用某个文件	基础	`lsof /var/log/syslog`
`lsof -n -P` 不解析 DNS 和端口名（加速输出）	中级	`lsof -n -P -i`
`ls -la /proc/PID/fd/` 通过 /proc 直接查看进程的文件描述符	中级	`ls -la /proc/1234/fd/`
`ls -la /proc/PID/cwd` 查看进程的当前工作目录	中级	`ls -la /proc/1234/cwd`
`ls -la /proc/PID/exe` 查看进程的可执行文件路径	中级	`ls -la /proc/1234/exe`
`readlink /proc/PID/fd/N` 查看特定文件描述符指向的目标	中级	`readlink /proc/1234/fd/3`

命令	难度	示例
`lsof -i` 列出所有网络连接（IPv4/IPv6）	基础	`lsof -i`
`lsof -i :port` 查看特定端口的连接	基础	`lsof -i :8080`
`lsof -i :port1-port2` 查看端口范围	中级	`lsof -i :8000-8100`
`lsof -iTCP -sTCP:LISTEN` 列出所有 TCP 监听中的连接	中级	`lsof -iTCP -sTCP:LISTEN`
`lsof -iUDP` 列出所有 UDP 连接	中级	`lsof -iUDP`
`lsof -i @host` 按主机/IP 过滤网络连接	中级	`lsof -i @192.168.1.1`
`lsof -i -sTCP:LISTEN -n -P` 无 DNS/端口解析的监听列表（常用组合）	中级	`lsof -i -sTCP:LISTEN -n -P`
`lsof -iTCP -sTCP:ESTABLISHED -n -P` 查看已建立的 TCP 连接	中级	`lsof -iTCP -sTCP:ESTABLISHED -n -P`

命令	难度	示例
`lsof -F` 机器可解析的输出格式（用于脚本）	高级	`lsof -F pcfn`
`lsof \| grep DEL` 查找已删除但仍占用磁盘的『幽灵文件』	高级	`lsof \| grep DEL`
`lsof -a -u user -i` AND 条件组合（同时匹配用户和网络）	高级	`lsof -a -u admin -i :3000`
`fuser /path/to/file` 显示正在使用特定文件或套接字的进程 PID	中级	`fuser /var/run/docker.sock`
`fuser -k /path` 杀死使用特定文件/端口的进程	高级	`fuser -k 8080/tcp`
`fuser -v /path` 详细模式显示使用文件的进程信息	中级	`fuser -v /var/log/nginx/access.log`

lsof 和 fuser 有什么不同？

如何用 lsof 查找占用端口的进程？

为什么 lsof 输出很慢？如何加速？

如何查看一个进程打开了哪些文件描述符？

什么是 lsof | grep DEL 的用途？

本速查表数据整理自各工具官方文档。最后更新: 2026-07-17。