Linux /proc/PID/fd 怎样判断进程打开的文件

我排查 Linux 服务“文件到底有没有打开”时，最先看的不是进程日志，而是 /proc/PID/fd。它把进程当前持有的文件描述符呈现成数字目录项：普通文件通常能看到目标路径，管道和套接字会显示 pipe:[inode] 或 socket:[inode]，没有对应 inode 的内核对象则常见 anon_inode:file-type。判断时要记住：这是一个会变化的观察窗口，不是永远稳定的清单。

结论：先用 readlink /proc/PID/fd/FD 判断描述符指向什么，再用 /proc/PID/fdinfo/FD 查看位置、标志和 inode；如果遇到 Permission denied、空目录或读链失败，优先检查权限、线程状态和进程是否正在关闭描述符。

先看 /proc/PID/fd：数字目录项就是文件描述符

/proc/PID/fd/ 的每个目录项名称就是一个文件描述符编号。0、1、2 通常分别对应标准输入、标准输出和标准错误，其他数字可能是日志文件、配置文件、管道、套接字或匿名内核对象。目录项本身是符号链接，所以排查时应读取链接目标，而不是只看目录名。

# 先列出目录项；2>/dev/null 只隐藏目录刚好消失时的噪声
ls -l -- /proc/PID/fd 2>/dev/null

# 只读取一个描述符的目标，不把失败误报成“没有打开文件”
readlink -- /proc/PID/fd/FD || echo "读取失败：检查 PID、FD 和权限"

普通文件的目标通常是带路径的符号链接。管道、套接字的目标是类型加 inode，后续可以把 inode 作为线索，再结合网络或进程上下文继续判断。anon_inode: 则表示没有普通文件 inode 的内核对象，不能强行按磁盘文件处理。

再看 fdinfo：判断打开状态，不只看路径

我第二次会看 /proc/PID/fdinfo/FD。对普通文件或目录，常见字段包括 pos、flags、mnt_id 和 ino：pos 是当前偏移，flags 以八进制表示访问模式和文件状态标志，mnt_id 指向挂载点编号，ino 是 inode 编号。这样能区分“路径看起来一样”和“描述符实际处于什么打开状态”。

# 读取单个描述符的状态字段；文件已关闭时保留原始错误
cat -- /proc/PID/fdinfo/FD || echo "读取失败：描述符可能已关闭或不可读"

# 只筛选核心字段，便于和 readlink 的目标放在一起比较
awk '/^(pos|flags|mnt_id|ino):/ { print }' /proc/PID/fdinfo/FD 2>/dev/null

对 epoll、eventfd、inotify 等对象，fdinfo 还可能出现类型专属字段。不要把某一种 fd 的字段表当成所有描述符的固定 schema；先看类型，再解释额外字段。

为什么会 Permission denied、空结果或前后不一致

这里最容易误判。读取别的进程的 /proc/PID/fd 符号链接受 ptrace 访问模式检查；即使你能看到目录项，也不等于一定能解引用目标。更进一步，链接指向的 inode 仍有自己的权限和所有者，重新打开它时可能被拒绝。换句话说，“进程已经持有 fd”与“当前用户能通过这个路径再打开一次”是两件事。

多线程进程还有一个特殊边界：如果主线程已经退出，/proc/PID/fd 的内容可能不可用。进程本身也可能在你列目录、读链接、读 fdinfo 的间隔里关闭描述符，所以一次命令得到的不是事务快照。排查脚本应该保留每一步的失败信息，不要把缺少某个 FD 当成确定结论。

我会保留的最小排查清单

实际值班时，我会先确认 PID，再逐个读取目标和状态；如果 PID 生命周期很短，就把这次结果标成“瞬时观察”。下面的命令只负责收集，不会修改目标进程：

# 把 PID 替换成目标进程号；不存在的描述符直接跳过
for fd_path in /proc/PID/fd/*; do
  [ -e "$fd_path" ] || continue
  fd=${fd_path##*/}
  target=$(readlink -- "$fd_path" 2>/dev/null) || target=""
  printf 'fd=%s target=%s\n' "$fd" "$target"
  # fdinfo 是补充状态，读不到时不覆盖前面的目标判断
  sed -n 's/^[[:space:]]*\(pos\|flags\|mnt_id\|ino\):[[:space:]]*/\1=/p' \
    "/proc/PID/fdinfo/$fd" 2>/dev/null || true
done

这份清单的重点不是输出长，而是把三类信息分开：链接目标回答“它指向哪类对象”，fdinfo 回答“打开状态有哪些线索”，错误信息回答“这次观察受什么边界影响”。如果要分析套接字，再把 socket:[inode] 与对应的网络信息关联，而不是把它当作文件路径。

常见问题

问：看到 /proc/PID/fd/3 -> deleted 说明文件已经关闭了吗？
不一定。它通常说明目录项已被删除或重命名，但进程仍可能通过打开的描述符持有文件内容；是否还有空间、偏移和写入活动要结合 fdinfo 与进程行为判断。

问：为什么 ls 能看到 FD，cat /proc/PID/fd/FD 却失败？
目录可见、符号链接可读和重新打开链接目标分别受权限影响。先区分是 ptrace 访问检查失败，还是目标 inode 的打开权限不足。

问：fdinfo 没有 ino 就代表不是文件吗？
不能这样推断。字段会随内核对象类型变化，专属对象可能有自己的字段；应先读取链接目标和完整的 fdinfo，再按对象类型解释。