lsof -p pid 是查看指定进程打开文件的基础方法，需 root 权限；常用组合 -n -p 避免解析延迟，-d ^cwd,^txt,^mem 过滤出实际读写文件，+d 目录可查一级占用，lsof | grep deleted 用于定位已删仍占空间的文件。
直接用 lsof 查进程打开的文件，绝大多数情况不需要“高级用法”——基础选项组合就能解决 95% 的问题。所谓“高级”，其实是把几个常用参数串起来应对具体场景，而不是堆砌冷门开关。
查某个进程打开了哪些文件（按 PID）
最常见需求：知道一个进程卡住了、占着磁盘或端口，想看它到底在读写什么。
-
lsof -p 1234是起点，但默认输出太长，建议加-n（不解析主机名/端口名）和-P（不查服务名），避免卡顿或 DNS 查询延迟 - 如果只关心普通文件（非 socket、非设备），可过滤 TYPE：
lsof -p 1234 -a -d ^cwd,^txt,^mem -a -t中的-d ^cwd,^txt,^mem排除当前目录、代码段、内存映射，剩下多为实际读写的文件 - 注意：
-p必须用 root 权限才能看到其他用户的进程；普通用户执行时，lsof -p $PID只能查自己启动的进程
查谁在用某个端口（TCP/UDP）
端口被占用、服务起不来、连接连不上？lsof -i 是第一响应工具，但写法有坑。
-
lsof -i :8080能查到监听或连接 8080 的所有进程，但默认会解析域名和端口名（比如把 80 显示成 http），加-n -P更快更准 - 只想看 TCP 或 UDP？用
lsof -i tcp:3306或lsof -i udp:53，不要写成lsof -i tcp -i :3306—— 这样是 AND 逻辑，但-i tcp本身不含端口条件，结果可能为空 - IPv4 和 IPv6 分开查更稳妥：
lsof -i4 :22比lsof -i :22更明确，避免因双栈配置导致漏掉监听在:::22的 sshd
查某个目录下被哪些进程占用（umount 失败时必用）
卸载失败报 device is busy，本质是进程 cwd、root、或打开了该目录下的文件。不能只靠 lsof /path。
-
lsof +D /var/log递归扫描整个目录树，速度慢、权限要求高（需能遍历子目录），且容易因权限不足中断 - 更实用的是
lsof +d /var/log（非递归），只扫一级目录下的打开文件，配合grep快速定位：lsof +d /var/log | grep REG - 别忽略
cwd和rtd类型：进程当前工作目录是/var/log，哪怕没打开任何文件，也会阻止 umount —— 这类条目在lsof +d /var/log输出里 FD 列显示为cwd，不是REG
查被删除但仍被占用的文件（磁盘空间不释放）
日志轮转后 df 显示磁盘满，但 du -sh /var/log 却不大？大概率是文件被删了，但进程还拿着 fd。
-
lsof | grep deleted是标准做法，但输出中 NAME 列会显示类似/var/log/nginx/access.log (deleted) - 注意：这个命令必须用 root 执行，否则看不到其他用户的 deleted 文件；普通用户执行时，只会显示自己进程持有的 deleted 文件
- 找到 PID 后，可选操作是重启对应服务（如
systemctl restart nginx），而非直接 kill —— 强杀可能引发服务异常；若无法重启，lsof -p PID再确认是否只有这一个 deleted 文件在占空间
真正容易被忽略的点是权限和上下文：几乎所有 lsof 的“查不到”问题，根源都是没加 sudo；而多数“结果太多”问题，是因为忘了加 -n -P 导致解析阻塞或干扰判断。别迷信“高级参数”，先确保基础组合跑通。
