atime、mtime、ctime分别记录文件访问、内容修改和元数据变更时间：读取触发atime（受noatime等挂载选项抑制），写入内容必更新mtime和ctime，修改权限/所有者等仅更新ctime；stat命令可完整查看三者。
Linux 文件系统里每个文件都自带三个时间戳，它们不是随意记录的，而是由内核在特定操作发生时自动更新。理解 atime、mtime 和 ctime 的触发逻辑，比记住定义更重要——因为它们直接影响备份策略、日志审计、Makefile 依赖判断甚至性能调优。
atime：访问时间，但常被“静默”
atime 标记的是文件内容被读取的时刻，比如用 cat、grep、less 或执行一个脚本都会触发它。但要注意：现代 Linux 默认挂载时常启用 relatime 或 noatime 选项，这意味着频繁读取不会每次都写磁盘更新 atime，以减少 I/O 开销。所以你看到 atime 没变，不一定是没被访问过，很可能是被系统“跳过”了。
- 想强制查看真实访问行为？临时 remount 加 strictatime（仅调试用）
- 日常运维中，别依赖 atime 做精确访问追踪；更适合用 auditd 或 inotify
- ls -lu 显示的就是 atime，但结果受挂载参数影响
mtime：内容修改的权威指标
mtime 只对“文件数据块变更”敏感。写入新内容、追加、截断、用 vim 保存、cp -f 覆盖目标文件……这些操作都会让 mtime 推进。它是 ls -l 默认显示的时间，也是 rsync、make 等工具判断“是否需要同步或重编译”的核心依据。
- 注意：touch -a 不动 mtime，touch -m 会改 mtime（同时也会触发 ctime）
- 只改权限、所有者或重命名，mtime 不变
- 对目录而言，新建/删除子文件会更新目录的 mtime（因为目录的内容即其子项列表）
ctime：元数据变更的“全知者”
ctime 不是创建时间，而是 inode 元数据最后一次变更的时间。只要文件的任何属性在 inode 层发生变化——包括修改权限（chmod）、属主（chown）、硬链接数（ln / rm）、重命名（mv）、甚至改 mtime 或 atime（touch -m/-a），ctime 就会立刻刷新。因此 ctime 总是 ≥ mtime 和 atime。
- ls -lc 查看 ctime，stat 输出中明确标为 “Change”
- 即使文件内容一动没动，只要 chmod 一次，ctime 就变
- 安全审计常用 ctime 追踪异常权限变更，因为它几乎无法绕过
三者关系简单说：读文件 → 可能更新 atime；改内容 → 必更新 mtime 和 ctime；改属性 → 只更新 ctime（但 mtime 不动）。用 stat filename 一眼看清全部，无需猜测。
