Linux find 使用 -xdev 如何避免跨文件系统扫描

扫描 /var、备份目录或容器宿主机目录时，最容易忽略的是路径下面可能挂着 NFS、tmpfs 或另一块磁盘。Linux find 的 -xdev（同义选项是 -mount）会访问挂载点这个目录，但不会继续进入其他文件系统的目录内容。把它放在起点之后，再连接文件类型和名称条件，就能把扫描范围限制在起点所在文件系统。

-xdev 解决的是“不要跨设备向下遍历”，不是“按目录名排除某个路径”；挂载点可能仍会作为一个目录项出现在结果中。

-xdev 到底限制了什么：跨设备目录不再向下遍历

find 从命令行给出的起点开始遍历。遇到一个挂载点时，挂载点目录本身仍然属于遍历对象，但挂载点里的子项属于另一个文件系统，-xdev 会在这里停止向下进入。这个细节很重要：如果你只想确认是否存在挂载边界，结果里可能仍看到挂载点；如果你连挂载点目录也不想看到，就要再增加路径条件或改用明确的 -prune 规则。

可以把它理解成设备号比较，而不是目录字符串比较。起点设备保持为扫描基准，后续目录的设备不同，就不再向该目录内部递归。因此它适合保护扫描命令不误入网络文件系统、Docker 挂载目录或临时盘。

先确认挂载边界，再决定扫描范围

排查前先确认扫描起点是否本身就是挂载点，以及目标目录下有哪些边界。常用的确认方式是查看挂载信息或设备号；这一步不是为了运行文章中的示例，而是帮助你决定 -xdev 是否符合任务。

例如，起点是本机日志分区时，可以这样组合条件：

# 只在 /var/log 所在文件系统内查找普通日志文件
find /var/log -xdev -type f -name '*.log' -print

# -xdev 负责设备边界，-type 和 -name 负责文件筛选

不要把 -xdev 写成“忽略所有挂载目录”。GNU find 的语义是访问挂载点但不进入其内容；如果业务规则要求结果中完全没有 /var/log/remote，应同时写出路径排除意图，而不是依赖读者猜测。

把 -xdev 放进排查命令，并读懂返回状态

在脚本中，命令是否跨文件系统只是第一层判断。目录没有读取权限、目录在遍历期间发生变化，或者筛选条件没有匹配，都可能让输出和预期不同。GNU find 在所有文件都被成功处理时返回零；发生错误时返回非零，所以应把标准错误和退出码纳入排查记录。

# 记录跨文件系统保护下的扫描错误，并让脚本感知失败
error_log=$(mktemp)
find /srv/app -xdev -type f -name '*.conf' -print 2>"$error_log"
find_status=$?

# 退出码非零时先查看权限或消失目录，不要把结果当成完整清单
if [ "$find_status" -ne 0 ]; then
  cat "$error_log" >&2
  rm -f "$error_log" # 清理临时错误文件
  exit "$find_status"
fi
rm -f "$error_log" # 成功后同样清理临时文件

如果命令要跟随符号链接，还要重新审视边界语义；-L 改变的是符号链接解析策略，不能仅凭 -xdev 三个字符推断所有链接场景都满足安全预期。生产脚本应先确定是否需要跟链，再用一个包含挂载点、权限错误和链接的最小目录树验证。

常见问题

-xdev 和 -mount 有什么区别？

在 GNU find 中二者是同义选项，都表示不要进入其他文件系统的目录。团队协作时选一个并保持命令风格一致即可。

为什么结果里还能看到挂载点？

因为 -xdev 阻止的是向下遍历，挂载点目录本身仍可能被访问和匹配。若要完全排除它，追加针对该路径的 -prune 规则。

用 -xdev 后文件变少，是不是 find 出错了？

不一定。先确认目标文件是否位于另一个设备，再检查标准错误和退出码；跨文件系统内容本来就不在这次扫描范围内。

最终确认：先用设备边界定义扫描范围，再用 -type、-name 等条件筛选目标；需要按目录名排除时单独使用 -prune，脚本化运行则同时记录错误输出和退出状态。