最可靠方法是直接读取/proc/cpuinfo的flags字段：必须用grep -iE '^flags.*avx2'等精确匹配行首且限定在flags行内，避免误报；lscpu仅作快速筛查，最终验证须以原始flags为准。
最可靠的方法是直接读取 /proc/cpuinfo 中的 flags 字段，它由内核通过 CPUID 指令实时采集，不依赖外部工具、不聚合、不推测——只要出现在这行里，就代表当前逻辑 CPU 真实支持。
为什么不能用 grep flags /proc/cpuinfo
因为 /proc/cpuinfo 里有多处含 “flags” 字符串：比如 cpu family、model name 甚至注释行都可能带这个词。直接 grep flags 会把 cpu family: 6 这类行也捞出来，造成误判。
- 必须锚定行首：
grep -E '^flags' /proc/cpuinfo才只匹配真正的标志行 - 大小写敏感：
Flags（首字母大写）在部分系统中会出现，所以更稳妥的是grep -iE '^flags' /proc/cpuinfo - 如果输出为空，不是 CPU 不支持，而是容器未挂载
/proc或权限受限
查 AVX2、AES、AVX512 等具体指令集要加单词边界
仅靠 grep avx2 /proc/cpuinfo 风险很高：可能命中 avx2_fma（旧内核写法）、avx512f（子串重叠）、甚至日志注释。正确做法是限定在 flags 行内精确存在。
Linux Security Scanner
下载
Linux 安全审计工具，检查 SSH 配置、开放/监听端口、防火墙规则（ufw/iptables/nftables）、失败登录尝试、sudoers 权限...
- 确认 AVX2：
grep -iE '^flags.*avx2' /proc/cpuinfo - 确认 AES：
grep -iE '^flags.*aes' /proc/cpuinfo - 确认 AVX512F：
grep -iE '^flags.*avx512f' /proc/cpuinfo（注意不是avx512，后者太宽泛） - 避免用
-w（单词边界），某些 locale 下行为异常；空格分隔 + 行首锚定更稳定
lscpu 能不能替代？要看场景
lscpu 本质是解析 /proc/cpuinfo 后聚合展示，快但有隐藏偏差：
- 它的
Flags:行只取第一个在线核心的值，不做全核比对；若 BIOS 禁用了部分核心或启用了热插拔，lscpu会漏掉差异 - 某些精简系统（如 Alpine 的 busybox 版本）压根没装
lscpu，此时必须回退到grep -iE '^flags' /proc/cpuinfo - 快速筛查可用：
lscpu | grep -iE 'flags|avx|aes'，但最终验证仍应以/proc/cpuinfo原始行为准
真正容易被忽略的点是：多核系统中，每个逻辑 CPU 的 flags 行都要一致才代表全核可用；而 grep -m1 只看第一个，省事但有风险——做 HPC 或虚拟化部署前，务必去掉 -m1 扫一遍全部核心。
