strace无需源码或重新编译即可跟踪系统调用，预装于多数linux发行版；-p pid卡顿时多因目标进程处于d状态；-e trace=file与network分别覆盖文件和网络相关调用，需逗号分隔；多进程跟踪必须配合-ff分离日志。
strace 不需要源码或重新编译程序就能看到它到底在跟内核“要什么”，装完就能用，对绝大多数 Linux 发行版来说，它甚至已经预装了。
确认 strace 是否已安装及快速安装方法
大多数现代 Linux 系统（Ubuntu、Debian、CentOS、EulerOS、Kylin OS）默认自带 strace。运行 strace --version 或 which strace 即可验证。
如果提示命令未找到，按发行版安装：
- Ubuntu/Debian：
sudo apt-get install strace - CentOS/RHEL/EulerOS：
sudo yum install strace或sudo dnf install strace - Arch Linux：
sudo pacman -S strace
注意：无需从源码编译，除非你明确需要最新开发版；生产环境不建议自行构建，避免 ABI 兼容问题。
strace -p PID 跟踪正在运行的进程时的常见卡顿现象
执行 strace -p 12345 后终端无响应、Ctrl+C 也不退出？这通常不是 strace 挂了，而是目标进程正处于不可中断睡眠状态（D 状态），比如等待磁盘 I/O 或持有内核锁。此时 strace 会同步阻塞。
安全中止方式：
- 先用
ps -o pid,stat,comm -p 12345查看进程状态，若STAT列含D，说明它本身已卡死，strace 只是如实反映 - 换用
strace -p 12345 -e trace=none -T，只加耗时统计但不拦截调用，降低干扰 - 真要强制 detach，可用另一个终端发
kill -SIGUSR1 $(pgrep -f "strace.*12345")（部分版本支持）
别反复 Ctrl+C —— 多次中断可能让 strace 进入异常状态，导致后续跟踪失效。
过滤系统调用时 -e trace=file 和 -e trace=network 的实际差异
-e trace=file 并非只捕获 open() 和 read()，它覆盖所有以路径名或文件描述符为参数的调用，包括：openat()、statx()、unlinkat()、chdir()、mkdirat() 等。而 -e trace=network 包含：socket()、bind()、connect()、accept4()、sendto()、recvfrom()、getpeername() 等。
关键区别在于：
-
file类别隐含大量高频调用（如stat()检查配置是否存在），容易刷屏；建议搭配-z（只显示失败调用）或-e trace=openat,read,write,close显式限定 -
network类别调用频率低但语义重，适合排查连接超时、端口占用、DNS 解析失败等，返回值-1 EINPROGRESS或-1 ETIMEDOUT直接对应错误原因 - 二者不能叠加写成
-e trace=file,network—— 实际生效的是最后出现的类别，应写为-e trace=file,network（逗号分隔，strace 支持）
保存 strace 日志时 -o 与 -ff 配合使用的必要性
用 strace -o log.txt -f ./server 跟踪多进程服务（如 Nginx、Redis），你会发现所有子进程日志都挤在同一个文件里，难以区分谁干了什么。这是因为 -f 仅开启子进程跟踪，但不分离输出流。
正确做法是加上 -ff：
-
strace -ff -o trace.log -f ./server会生成trace.log（主进程）和trace.log.12346、trace.log.12347等（各子进程 PID 命名） - 必须同时用
-f和-ff，单独-ff无效 - 日志文件默认不带时间戳，建议额外加
-tt，例如：strace -ff -tt -o trace.log -f ./server
忽略 -ff 是分析多进程程序时最常被跳过的步骤，结果就是你拿着一团乱麻的日志，却没法判断是 worker 进程还是 master 进程出的问题。
