直接用lsof /path/to/file可查占用进程，需sudo查系统级文件；lsof +l1查已删仍占空间文件；lsof -c name或-u user可按名或用户批量筛选；/proc/pid/fd用于手动验证。
直接用 lsof /path/to/file 就能查出谁在用这个文件，不需要先找 PID 或猜进程名。
查指定文件被哪些进程打开
这是最常用也最直接的场景：比如你改不了某个配置文件、删不掉日志、umount 报 “device busy”，本质都是文件被进程锁着。执行：
-
lsof /var/log/nginx/access.log—— 查具体路径 -
lsof /dev/sda1—— 查设备节点（常用于 umount 失败时定位） -
lsof /tmp—— 查目录本身是否被进程 cwd 或 chroot 占用
注意：lsof 默认只显示当前用户有权限看到的进程。若目标文件由 root 或其他用户进程打开，必须加 sudo，否则结果为空或不全。
查被删除但仍被占用的文件（磁盘空间不释放）
常见于日志轮转后空间没释放，df 显示满但 du 算不出来。这类文件在 lsof 输出中 NAME 列会带 (deleted) 标记：
-
lsof +L1—— 直接列出所有已删但句柄未关的文件 -
lsof | grep '(deleted)'—— 手动过滤（更慢，但兼容老版本）
输出里能看到 PID 和原始路径，比如 /var/log/app.log (deleted)，说明进程还在往这个已被 rm 的 inode 写数据。此时不能靠文件名恢复，得去 /proc/<pid>/fd/</pid> 下找对应 fd 链接。
按进程名或用户批量查打开的文件
当你只知道服务名（如 nginx），但不确定 PID 或想看全部实例时：
-
lsof -c nginx—— 匹配 COMMAND 列以 “nginx” 开头的进程（注意不是全匹配） -
lsof -c nginx -c php-fpm—— 多个-c是逻辑 OR，不是 AND -
lsof -u www-data—— 查指定用户启动的所有进程打开的文件
⚠️ 坑点：-c 只匹配 ps 输出中的 COMMAND 字段（通常是二进制 basename），不包含路径或参数。比如 /usr/bin/python3 /opt/app/main.py 的 COMMAND 是 python3，不是 main.py。
绕过 lsof：用 /proc/PID/fd 直接验证
当系统没装 lsof，或你想确认某进程是否真打开了某个文件（比如排查符号链接跳转、权限绕过），可手动检查：
-
ls -l /proc/1234/fd/ | grep access.log—— 查 PID 1234 的所有 fd 链接 -
readlink /proc/1234/fd/7—— 看 fd 7 指向的真实路径（含(deleted)提示） -
grep -l "your_pattern" /proc/1234/fd/* 2>/dev/null—— 对所有 fd 做内容匹配（慎用，可能阻塞）
这个方法不依赖外部工具，但需要知道 PID；而 lsof 的优势是反向查——给路径就能找 PID，这才是它不可替代的地方。
