lsof 用 -d 参数筛选文件描述符，支持单值、范围（如3-10）、取反（^0-2）及类型名（txt/cwd），须配合 -p 或 -c 定位进程；-d 非合法参数，递归目录用 +d，切勿混淆。
lsof 本身不支持用 -D 选项限定“文件描述符范围”——-D 并非 lsof 的合法参数，你可能混淆了 +D（递归扫描目录）或 -d（指定 fd 编号或范围）。
真正用于筛选特定文件描述符的参数是 -d
-d 选项专门用来过滤进程打开的文件描述符编号（fd number），例如标准输入 0、输出 1、错误 2，或自定义的 3、15、1024 等。它支持单值、逗号分隔列表、范围（用连字符）及关键字：
-
lsof -d 0,1,2 -p 1234：只显示 PID 1234 的 stdin/stdout/stderr -
lsof -d 3-10 -p 1234：显示 fd 编号在 3 到 10 之间的所有打开项 -
lsof -d ^0-2 -p 1234：排除 0–2，只显示其他 fd（注意^表示取反） -
lsof -d txt,cwd,mem：按 fd 类型名过滤，如可执行文件、工作目录、内存映射
结合 -p 或 -c 才能精准定位句柄归属
单独用 -d 不带进程约束，会扫描全系统所有匹配 fd 编号的条目，噪音大且低效。实际排查应绑定目标进程：
-
查某进程的高 fd 号占用（疑似泄漏）：
sudo lsof -p 1234 -d 256-65535 | grep REG -
查所有 nginx 进程中打开网络 socket 的 fd：
sudo lsof -c nginx -d 0-999 -a -i（-a表示 AND 条件） -
确认某日志文件是否被某个 fd 持有：
sudo lsof -p 1234 -d 7，再检查输出中 NAME 是否为该路径
注意 fd 状态与真实占用的对应关系
看到 lsof -d 7 -p 1234 输出某条目，并不自动等于“正在活跃读写”。需进一步验证：
- 检查 FD 列后缀：如
7w（只写）、7u（读写）、7r（只读）比单纯数字更有意义 - 观察 SIZE/OFF 列：持续增长说明有写入行为；长期为 0 可能只是打开未用
- NAME 显示
(deleted)表示文件已被 unlink，但句柄未关，空间仍被占
替代方案：直接读 /proc/PID/fd/ 更底层可靠
当 lsof -d 因权限或内核兼容性返回不全时，可手动检查：
-
ls -l /proc/1234/fd/ | grep "^[3-9]\|^[1-9][0-9]\+$"：列出 3 及以上的 fd 符号链接 -
readlink /proc/1234/fd/15：查看第 15 号 fd 实际指向的文件路径 -
lsof -d 15 -p 1234输出若为空，但readlink成功，说明 lsof 未能识别该 fd 类型（如 eventfd、timerfd）
