Linux procfs 怎样读取进程的 fd 与挂载信息

排查 Linux 进程“文件句柄很多”“某个 fd 到底指向哪里”或“容器里的挂载和宿主机不一样”时，直接看一份全局挂载表往往不够。procfs 为每个进程提供了自己的观察入口：/proc//fd 看打开对象，fdinfo 看描述符属性，mountinfo 看进程所在的挂载视图。

核心结论：先用 /proc//fd 找到描述符指向的对象，再用对应 fdinfo/ 的 mnt_id 去关联 mountinfo 中的挂载 ID。这样排查的是目标进程自己的文件与挂载关系，而不是凭路径或宿主机视角猜测。

官方参考地址：https://www.kernel.org/doc/html/latest/filesystems/proc.html

先确定 procfs 能看到什么

/proc 是内核数据结构的文件系统接口。进程目录名是 PID，但“路径存在”不等于“当前用户一定有权读取”。读取自己的进程通常最直接；查看其他进程时，还会受到 ptrace 访问检查、进程所属关系以及 procfs 的 hidepid 挂载选项影响。

因此，排查前先固定三个条件：

• 目标 PID：确认它仍然是要观察的进程，不能把旧日志中的 PID 当成永久身份。
• 观察视角：容器、PID 命名空间和挂载命名空间可能让同一个 PID 或路径呈现不同内容。
• 权限：对其他用户的进程，读取 fd、fdinfo 或 mountinfo 可能返回权限错误或内容受限。

这一步的目标不是把权限问题“绕过去”，而是把失败归因到权限、命名空间还是进程已退出。后面的读取命令都应把目标 PID 当作参数，不把它写死在脚本中。

读取进程打开的 fd 与 fdinfo

/proc//fd 下通常有以数字命名的符号链接，每个数字对应一个打开的文件描述符。链接目标可以是普通文件、目录、管道、套接字或带有 (deleted) 标记的已删除文件。它回答的是“这个 fd 当前指向什么”。

图1：fd 与 fdinfo 的静态结构说明图，区分对象指向和描述符属性；这是原创结构图，不是运行截图。

pid="$1"

# 先确认目标进程目录存在，再列出它当前暴露的描述符链接
test -d "/proc/$pid" || { echo "进程不存在或不可见" >&2; exit 1; }
for fd_path in "/proc/$pid/fd"/*; do
    # readlink 保留 (deleted) 等线索，不把目标路径当成已验证事实
    fd_name="${fd_path##*/}"
    target=$(readlink "$fd_path" 2>/dev/null || true)
    printf 'fd=%s target=%s\n' "$fd_name" "$target"
done

单看链接目标还不够。对应的 /proc//fdinfo/ 对普通文件至少提供 pos、flags、mnt_id 和 ino 等字段：pos 是当前偏移，flags 使用八进制文件状态标志，mnt_id 是文件所在挂载的 ID，ino 是 inode 号。

pid="$1"
fd="$2"

# 只读取内核暴露的描述符属性，不把输出重新解释成 shell 代码
info="/proc/$pid/fdinfo/$fd"
if test -r "$info"; then
    sed -n '1,12p' "$info"
else
    echo "fdinfo 不可读，检查 PID、fd 和权限" >&2
    exit 1
fi

不同类型的描述符会有额外字段，例如 epoll、eventfd 或锁信息。不要用“字段数量固定”来写解析器；对未知字段保留兼容性，真正需要的字段再按名称读取。

解析 mountinfo 并关联挂载视图

/proc//mountinfo 描述目标进程可见的挂载关系。典型行由挂载 ID、父挂载 ID、设备号、文件系统内根、挂载点、挂载选项、若干可选字段、分隔符 -、文件系统类型、挂载源和超级块选项组成。

其中可选字段数量不固定，所以解析时不能简单地假设某一列永远是文件系统类型。应先找到单独的 -，分隔符左侧解析挂载树与挂载选项，右侧再读取文件系统类型、挂载源和超级块选项。

pid="$1"

# 只提取前几行观察字段形状；真正的解析器要按 “-” 分隔可选字段
awk 'BEGIN { OFS="\t" }
{
    # mount ID、parent ID、mount point 位于分隔符左侧的固定起始位置
    separator = 0
    for (i = 7; i 

这份视图属于目标进程的挂载命名空间。进程在容器中时，宿主机直接读取自己的 /proc/mounts，并不能替代对目标进程 mountinfo 的观察。要判断两个路径是否落在同一挂载上，优先看挂载 ID 和设备/路径字段的组合，而不是只比较字符串前缀。

图2：mountinfo 与 fdinfo mnt_id 的挂载关系说明图，帮助定位文件描述符所属挂载；这是原创结构图，不是运行截图。

用 mnt_id 把 fd 和挂载信息串起来

一个可复用的排查链是：先列出 fd 符号链接，选中异常 fd；再读取它的 fdinfo，记录 mnt_id 与 ino；最后在同一个目标 PID 的 mountinfo 中找到相同的 mount ID，查看挂载点、文件系统类型和父挂载关系。

这个关联能解释几类常见现象：

• fd 目标显示为已删除文件，但进程仍持有打开对象，磁盘空间可能仍被该文件占用。
• 同一绝对路径在不同命名空间中的挂载来源不同，不能用宿主机路径直接代替进程视角。
• fdinfo 中的 mnt_id 找不到对应行时，可能是读取时机不一致、进程退出或权限/命名空间选择不一致。

不要把 procfs 当成一次性快照。进程可以随时关闭 fd、替换挂载或退出，读取多个文件之间存在时间差。自动化采集应记录采集时刻、目标 PID、读取错误，并把“不存在”与“不可读”区分开。

常见误区与速查清单

1. 把 PID 当永久身份：PID 会被复用，长时间任务应结合进程启动信息或打开稳定的 procfs 句柄管理生命周期。
2. 只看 ls -l /proc/$pid/fd：它适合快速定位，但偏移、标志、挂载 ID 仍需读取 fdinfo。
3. 把 mountinfo 当固定列格式：可选字段数量会变化，解析器必须寻找 - 分隔符。
4. 把宿主机挂载表当答案：容器和挂载命名空间会改变目标进程看到的挂载树。
5. 把权限错误当成没有 fd：权限、hidepid、ptrace 检查和进程退出都可能产生不同失败表现。

把三个入口放在同一个目标 PID 和同一个权限视角下读取，通常就能把“句柄指向哪里”“它属于哪一个挂载”和“为什么宿主机看到的不一样”拆开回答。

常见问题

为什么 fd 链接显示 deleted，文件还占空间？

删除目录项不等于进程立即关闭已打开的文件对象。只要 fd 仍然存在，文件对象可能继续占用空间；应先定位持有者，再让业务安全关闭或重启对应进程。

fdinfo 的 mnt_id 能直接当成全局挂载编号吗？

不能。它应放在同一个目标进程的 mountinfo 视角中解释。换到另一个进程、另一个挂载命名空间或不同采集时刻，都要重新关联。

为什么 root 读取其他进程仍可能看到限制？

root 的有效身份不等于绕过所有 procfs、命名空间和安全策略。实际结果还取决于 hidepid、ptrace 访问检查、能力、LSM 以及目标进程所在的命名空间。