最推荐用 inotify 机制实时监控 linux 目录变动：内核推送事件、零轮询、低开销；inotifywait 命令适合脚本运维，inotify 系统调用适合 c/c++ 高性能场景；注意 max_user_watches 限制、递归需手动处理、in_close_write 比 in_create 更可靠。
Linux 中实时监控目录文件变动，最推荐的方式是用 inotify 机制——它由内核直接推送事件，不轮询、不耗 CPU、响应快，是生产环境的标准做法。
用 inotifywait 命令快速上手
这是最轻量、最实用的入门方式，无需编程，适合运维、脚本自动化或临时排查：
- 先安装工具：
sudo apt install inotify-tools（Debian/Ubuntu）或sudo yum install inotify-tools（CentOS/RHEL） - 监听单个目录新建文件：
inotifywait -m -e create,close_write /path/to/dir
其中-m表示持续监听，-e指定关心的事件 - 常用事件组合：
create（创建）、close_write（写完关闭，确保内容已落盘）、moved_to（如mv移入）、delete（删除） - 加
-r可递归监控子目录；加--format '%w%f %e'能自定义输出格式，方便后续脚本解析
用 inotify 系统调用写 C/C++ 程序
需要更高控制力（比如热加载配置、嵌入服务、避免 shell 启动开销）时，直接调用内核接口更可靠：
Zynq Linux Hardware Debug
下载
Zynq‑7000 / Zynq UltraScale+ 硬件调试技能。适用于 Xilinx Zynq（Cortex‑A9/A53 + FPGA）Linux 环境，调试 I2C、I2S、UART、GPIO 等外设。包括设备树配置、内核驱动、用户空间调试工具、交叉编译和常见问题排查，支持 PetaLinux 开发。
- 调用
inotify_init1(0)创建监听实例（返回 fd） - 对目标目录调用
inotify_add_watch(fd, "/path", IN_CREATE | IN_CLOSE_WRITE | IN_MOVED_TO) - 用
read()阻塞读取事件缓冲区（天然事件循环，无空转） - 解析
struct inotify_event：注意事件可能分多次到达，len字段决定后续 name 偏移；mask判断类型，name是相对路径 - 关键细节：
IN_CLOSE_WRITE比IN_CREATE更可靠——很多程序（如 cp、rsync）先创建空文件再写入，仅靠 create 容易读到空内容
绕过 inotify 的替代方案
某些特殊场景下 inotify 不适用，可考虑这些补充手段：
- fatrace：全局追踪所有进程的文件访问，能显示 PID 和命令名，适合安全审计或排查“谁改了这个文件”
- auditd：内核级审计框架，可精确规则匹配路径+操作+用户，但配置较重，适合合规性要求高的环境
-
轮询 + find：仅作兜底，例如用
find /path -newermt "1 second ago"配合定时任务，延迟高、资源多，不推荐主力使用
注意事项和常见坑
实际部署时容易忽略几个关键点：
- 内核限制：默认每个用户最多监控
max_user_watches个对象（通常 8192），大目录需调大：echo 524288 | sudo tee /proc/sys/fs/inotify/max_user_watches - 递归监控：inotify 本身不支持自动递归，子目录需单独 add_watch；若需完整树监控，建议用
inotifywait -r或改用 fanotify（但 fanotify 权限要求高） - 事件丢失风险：当事件爆发式涌入，内核队列满时会丢弃（
IN_Q_OVERFLOW），可通过增大max_queued_events缓解 - mv 移入文件：本质是
IN_MOVED_TO事件，不是IN_CREATE，务必在 mask 中包含它，否则漏监控
