lsns 怎样确认进程加入了哪些 Linux namespace

排查容器或隔离环境时，先拿到目标进程的 PID，再用 lsns --task PID 查看它关联的 namespace，比盯着一张默认表格更可靠。判断重点是：TYPE 表示 namespace 类型，NS 是它的 inode 编号，不能把 PID 列误认为目标进程本身。

官方地址：https://man7.org/linux/man-pages/man8/lsns.8.html。下面做一个很小的命令行诊断流程，只覆盖按 PID 查看、固定字段和可见性边界，不展开 namespace 的创建或容器编排。

先用 --task 锁定进程，再用 --output 明确要看的字段；需要核对单个类型时，对照 /proc//ns 的链接目标。

先用 --task 锁定目标进程

假设目标 PID 保存在环境变量中。--task（短选项 -p）让 lsns 围绕这个进程列出可访问的 namespace，而不是先列出机器上的全部 namespace。

# 把待排查的进程号替换成真实 PID，避免把示例值当成固定进程。
PID=1234

# 按目标进程筛选 namespace，并只输出便于人工阅读的关键列。
lsns --task "$PID" --output NS,TYPE,NPROCS,PID,COMMAND

# 只看网络 namespace，缩小排查范围。
lsns --task "$PID" --type net --output NS,TYPE,NPROCS,PID,COMMAND

这条命令的结果应理解为“目标进程可见的 namespace 关系”。同一个进程可能同时关联 mount、network、IPC、PID、user、UTS、cgroup 或 time 等不同类型；实际能看到什么，还取决于当前 /proc 视图和权限。

读懂 NS、TYPE、NPROCS 和 PID

NS 通常是 namespace 的 inode 编号，用来区分同一类型的不同实例；TYPE 是类型名称；NPROCS 表示该 namespace 中的进程数量。PID 是该 namespace 中最低的进程号，适合做线索，但不等于你传给 --task 的目标 PID。

可以把输出字段按下面的方式速查：

用 /proc 对照单个 namespace

当问题集中在某一个类型时，可以直接查看 /proc//ns/。链接目标里的数字就是对应 namespace 的 inode 形式，适合与 lsns 的 NS 列互相对照。

# 读取目标进程的 network namespace 链接，确认类型和 inode 形式。
readlink "/proc/$PID/ns/net"

# 读取 mount namespace；不同类型需要替换最后的 net。
readlink "/proc/$PID/ns/mnt"

# 用固定列查看同一个 PID 的两个类型，便于人工对照。
lsns --task "$PID" --type net --output NS,TYPE
lsns --task "$PID" --type mnt --output NS,TYPE

如果 readlink 能看到类似 net:[402653xxxx] 的目标，括号内数字就是 namespace 标识的线索。这里的对照是静态命令解释，不代表本文在某台机器上执行过这些命令。

固定输出列，避免把默认表格当脚本接口

手册提示默认输出可能变化，因此脚本不要依赖列的默认顺序或完整文本。用 --output 指定字段；需要机器读取时再选择 --json，需要层级展示时选择 --tree 或 --list。

# 明确字段，减少不同 util-linux 版本的默认列差异。
lsns --task "$PID" --output NS,TYPE,NPROCS,PID,COMMAND

# 只列出指定 namespace 类型，适合缩小排障结果。
lsns --task "$PID" --type user --output NS,TYPE,NPROCS

# 需要后续脚本处理时选择 JSON；不要解析未固定的默认表格。
lsns --task "$PID" --json

--json 也不能替代权限判断；它只改变表示形式，不会让当前用户突然获得不可见的 namespace 信息。自动化脚本还应处理目标进程退出、字段缺失和命令返回非零等情况。

权限、PID namespace 和常见误区

第一，lsns 直接读取 /proc，普通用户可能只能看到不完整信息；如果结果与管理员视角不同，先确认权限和当前 procfs 是否被某个 PID namespace 隔离。第二，持久化但没有进程持有的 namespace 可能不会出现在普通列表里，不能仅凭“列表没有”断言它不存在。

第三，PID 列是 namespace 内的代表性最低 PID，不是“所有成员 PID”。如果要确认具体进程的 namespace，优先使用它自己的 --task 查询和 /proc//ns 对照。第四，命令输出用于排障时要保存筛选条件和字段名，否则同一脚本换环境后很难复查。

相关问题

为什么 lsns 看不到某个 namespace？

先检查当前用户权限、目标进程是否仍然存在，以及当前 /proc 是否来自另一个 PID namespace。没有可见进程但由 bind mount 持有的持久化 namespace，也可能不在普通默认列表中。

lsns 的 NS 编号和 /proc 链接数字是什么关系？

二者都可作为 namespace inode 标识线索。用同一目标 PID、同一类型对照时通常能够对应；但不要把它当作跨机器永久不变的编号。

实际排查可以记住四个动作：--task 缩小到目标进程，--type 缩小类型，--output 固定字段，/proc//ns 做单项对照。