优先用 lsof，因其直接读取内核文件描述符，能查到 time_wait 连接和非 root 进程，而 netstat 在新系统中常未预装、兼容性差且易误读监听状态。
查端口占用时，lsof 和 netstat 哪个更可靠？
优先用 lsof。它直接读取内核文件描述符，不依赖网络协议栈状态，能查到已关闭但未完全释放的连接（如 TIME_WAIT 中的 socket），而 netstat 在较新内核（尤其是 CentOS 8+/Ubuntu 20.04+）上默认不预装，且部分实现（如 netstat -tuln）可能漏掉 UDP 端口或非 root 用户启动的进程。
lsof -i :端口号 的常见误用和绕过权限限制的方法
直接运行 lsof -i :8080 可能看不到其他用户或系统服务的进程，因为普通用户无权读取其文件描述符。常见错误现象是返回空结果，但实际端口确被占用。
- 加
sudo是最直接的解决方式：sudo lsof -i :8080 - 若仅想确认是否被监听（不关心进程名），可用
ss -tuln | grep ':8080'，它不需要 root 权限也能看到监听状态 -
lsof -iTCP:8080 -sTCP:LISTEN可精确过滤仅处于监听态的 TCP 连接，避免混入已建立的连接
netstat 在不同发行版上的兼容性问题
netstat 属于 net-tools 包，在 Debian/Ubuntu 上需手动安装：sudo apt install net-tools；RHEL/CentOS 8+ 默认不带，要用 sudo dnf install net-tools。更关键的是，它的输出字段含义易混淆：
Zynq‑7000 / Zynq UltraScale+ 硬件调试技能。适用于 Xilinx Zynq（Cortex‑A9/A53 + FPGA）Linux 环境，调试 I2C、I2S、UART、GPIO 等外设。包括设备树配置、内核驱动、用户空间调试工具、交叉编译和常见问题排查，支持 PetaLinux 开发。
-
netstat -tuln中的Local Address列显示*:22表示监听所有接口，127.0.0.1:3306表示只监听本地回环 —— 很多人误以为*是通配符匹配，其实它是内核绑定地址的简写 -
netstat -an | grep :3000可能匹配到 ESTABLISHED 连接的远端端口（比如对方连你 3000，但你本机用的是随机高端口），应配合-tuln限定监听态 - 某些精简镜像（如 Alpine）里只有
busybox netstat，不支持-p（显示 PID/进程名），此时必须用lsof或ss
真正要 kill 占用端口的进程时，别只信 PID
lsof -t -i :3000 输出 PID 后直接 kill $(lsof -t -i :3000) 看似方便，但有风险：多个进程可能共用同一端口（如 systemd socket 激活服务），或 PID 已复用（lsof 查到的是旧进程残留）。更稳妥的做法是先确认进程意图：
- 用
lsof -i :3000 -P -n查看完整命令行（-P禁用端口名解析，-n禁用主机名解析，避免卡顿） - 检查该进程是否属于容器：
lsof -i :3000 | grep docker或看PID对应的/proc/$PID/cgroup - 若属 Docker 容器，应
docker ps --filter "expose=3000" -q | xargs docker stop，而非直接 kill 宿主机进程
端口冲突常发生在开发环境快速启停服务时，这时候 lsof 显示的 PID 可能是僵尸句柄，真实进程早已退出 —— 最保险的验证是 nc -zv localhost 3000 看是否真能连上。
