1. 别急着记命令先搞清楚Linux到底在跟你玩什么很多刚接触Linux的朋友第一件事就是收藏各种“Linux常用命令大全”。但说实话光靠背命令列表很快就会忘干净。我见过太多人把ls、cd、cat背得滚瓜烂熟一碰到“为什么我明明执行了mv文件却没了”“为什么df显示空间还很多可就是写不进文件”这种问题就懵了。根源在于你把Linux命令当成了“英语单词表”来背而没有理解它背后其实是“一套操作系统接口”。Linux的每一个常用命令本质上是调用系统底层能力的一个入口。比如ls不只是“列出文件”它在背后读取的是目录项的数据结构kill不只是“杀进程”它发的是一个信号signal进程收到信号之后怎么处理才是关键。理解了这一层再去看“常用指令”你会发现它们不再是孤立的知识点而是一个完整的操作体系。这篇文章会以我多年使用Linux的实际经验为线索把目录操作、文件处理、文本处理、进程管理、系统排查、权限控制这些最核心的指令串起来讲。不是百度百科式地罗列参数也不是教科书式地通篇术语而是告诉你每个指令在真实场景里怎么用、为什么这么用、踩过哪些坑。适合刚开始系统学习Linux的初学者也适合正在准备运维面试、想查漏补缺的从业者平时做开发但偶尔要上服务器排查问题的人同样可以当工具参考。2. 先打地基目录与文件操作的正确打开方式2.1cd和ls并不是你想的那么简单cd是切换目录ls是列目录这两个命令人人都知道。但绝大多数人的用法停留在“起步级”。举个例子cd -可以回到上一次所在的目录这个在长期在两个项目目录之间来回切换的时候非常好用不用敲一长串路径。cd不带任何参数是回到当前用户的家目录不要以为只是显示个波浪线就完了它在cron脚本里其实有个隐藏坑——脚本里写的相对路径全是相对于当前目录的而cron执行时当前目录往往不是你想要的所以脚本里第一行写成cd /指定目录是非常好的习惯或者省事点直接cd ~保底。再来看ls。ls的顺序是先按字母排序目录排在文件前面大部分发行版默认会加--group-directories-first的效果但不是所有环境都这样。真正有技术含量的是ls -lh-l显示详细信息-h人性化地显示大小单位。但很多人没注意到细节ls -l显示的日期格式种类很少而且在某些系统上你根本看不出这是哪年的文件。想排查“这个日志是哪天生成的”这类问题时不如直接用ls -l --time-stylelong-iso它会输出2025-06-01 10:30这种干净格式一眼就能判断新旧。还有一个很少人提的用法ls配合通配符和括号展开。比如你只想知道当前目录下所有.log文件的大小总和可以用ls -lh *.log看一眼但如果要统计总和还是得上du -ch *.log | tail -1。所以ls的核心价值是快速查看和确认不是做统计。很多新手试图用ls干所有事发现搞不定就以为“命令不好使”其实只是没选对工具。2.2cp、mv、rm的几处致命细节cp复制、mv移动/改名、rm删除这三个命令看着没有门槛但在生产环境里你要是操作失误轻则白干半天重则把线上项目搞挂。先提醒一个最大的坑rm -rf是你可能遇到的最高危命令之一。-r是递归删除目录-f是强制删除不提示。很多人看到“防误删技巧”都是说“用rm -i或者写个回收站函数”但我觉得最实在的防误删逻辑是执行rm -rf之前先pwd确认你人在哪个目录再ls看一下要删的东西到底长什么样。步骤听起来很蠢但真的救过我。以前在一台机器上清理临时目录随手敲了个rm -rf /tmp/build/*结果因为一个环境变量的干扰展开出来的路径不是预期的/tmp/build/差点把别的目录清掉。自那以后高风险的删除操作前我都会先执行一次echo /tmp/build/*看看展开结果再决定动不动手。然后是mv。它最反直觉的一点是移动目录到另一个已存在的目录里时行为不是“替换”而是“变成它的子目录”。比如mv /old /new如果/new已存在那结果是/new/old不是把/old覆盖进/new。这点写脚本的时候特别容易弄错。还有mv是不提示覆盖的除非你加-i。批量移动时因为目标目录里有同名文件直接就把老的静默覆盖了。所以重要文件做移动操作要么提前加个日期后缀要么用mv -i在覆盖前确认。cp同理目录复制必须加-r复制文件要保留权限和时间戳必须加-p。你会看到很多老手备份文件喜欢用cp -a-a等于-dR --preserveall可以把软链接、权限、时间戳、属主都原样复制。这是做备份、迁移环境的首选参数组合。平时拷普通文件用不到但一旦要迁移一个跑着的应用目录少了-a简直灾难——文件复制过去了权限全丢了服务直接起不来。2.3 查找文件find才是亲爹ls只能逛要知道某个文件到底在哪就得靠find。网上很多人推荐用locate说它快但locate依赖的数据库是定期更新的刚创建的文件它查不到。排查问题的时候用locate找不到文件然后转头怀疑“文件是不是丢了”这种事很尴尬。所以我个人的习惯是定位文件一律find不需要记忆那个数据库什么时候更新。find最常见的两种场景按名字找find / -name nginx.conf 2/dev/null2/dev/null是为了把权限类报错丢弃不然密密麻麻的“Permission denied”会干扰视线。按时间找find /var/log -mtime -3 -name *.log表示找三天内改动的日志。-mtime是按天-mmin是按分钟这俩区别得很清楚丢掉排查问题会很痛苦。按大小找find / -size 500M -exec ls -lh {} \;可以找出大文件来清理磁盘这对处理磁盘满问题很管用。find的-exec是很多人没用起来的扩展能力。它能把找到的每个文件作为参数传给后续命令。比如批量把找到的.txt改成.bakfind . -name *.txt -exec mv {} {}.bak \;。注意这里{}是当前文件名\;是结束符反斜杠不可省略。还有个替代写法是-exec ... 区别是前者对每个文件执行一次命令后者把所有文件作为一个参数列表一次性传给命令效率更高但要注意有些命令不支持这么玩。3. 文本三剑客grep、sed、awk的实战方法3.1grep比你想象中能干更多事如果Linux命令只能学五个grep一定是其中之一。它的核心职责是在文本里匹配关键字但用法深浅差别巨大。基础用法grep keyword file谁都会但真正在日常运维里高频使用的是这几个grep -r递归搜索目录找配置项到底写在了哪个文件里。比如改nginx.conf以后发现配置没生效用grep -rn server_name /etc/nginx/就知道有没有配了多处比一个一个翻文件快得多。grep -E扩展正则支持|这种或逻辑。比如grep -E ERROR|WARN app.log就能一把捞出日志里的错误和警告。grep -C 5前后各五行排查错误日志时光看错误行往往不够上下文里的堆栈才有价值。grep -C 5 java.lang.NullPointerException app.log可以直接拿到报错前后的相关输出。grep -v反向匹配过滤掉不想要的行。清理日志的时候grep -v ^$可以去掉空行或者grep -v INFO直接丢弃无关信息。还有个很实用但总被忽略的点grep的退出码。如果匹配到了返回 0没匹配到返回 1文件不存在或者出错返回 2。在shell脚本里这个特性可以直接用来判断“配置里是否包含某段内容”比如if grep -q enabled /etc/some.conf; then echo 已启用 else echo 未启用 fi-q表示静默模式不输出匹配内容只看退出码。这个技巧写自动化脚本时非常顺手。3.2sed不只是替换工具更是流式文本编辑器sed在很多人心里约等于“查找替换”但它其实是一整个文本处理管道。最常用的就是sed -i s/old/new/g file-i表示直接修改文件s是替换g是全局。可别小看这个线上改配置全靠它。举个例子sed -i s/listen 80;/listen 8080;/g /etc/nginx/nginx.conf一条命令改完一个配置项比打开vim再慢慢找要高效太多。但sed值得你多留一手的场景是“删除指定行”和“打印指定行区间”。删除sed -i /^#/d config.conf把注释行全删掉这个在清理冗长配置文件时很给力。打印指定行区间sed -n 20,40p app.log能从日志里精准切出某一段来检查。⚠️ 注意-i是直接改源文件没有任何确认机制。我见过不少新手把sed -i s/foo/bar/g里头的正则写错结果整个配置文件被改得面目全非。所以我一般建议先在不用-i的情况下执行一次看输出结果对不对再把-i加上。另外用sed -i修改系统关键配置前先cp一份带.bak后缀的备份多敲一个回车能省掉后续无穷的恢复功夫。3.3awk入门它才不是“只能取第一列”awk的默认行为确实是把每行按空格/制表符切分然后取字段比如awk {print $1}取第一列。但它的能力远不止此。处理日志分析、统计类需求时awk是最合适的选择。举一个我经常用的例子统计nginx日志里每个IP的访问次数排个序看点谁最凶。awk {print $1} access.log | sort | uniq -c | sort -rn | head -20这里awk只负责提取第一列sort排序uniq -c统计重复次数最后一层sort -rn按次数倒序排出Top。这一串管道命令组合在一起比用任何监控软件都来得轻巧、直接。说到按条件过滤awk也很顺手。比如我只想知道响应时间超过2秒的请求URL日志格式是$NF存了时间那么awk $NF 2 {print $1, $NF} access.logawk里的模式部分$NF 2用来过滤动作部分print ...负责输出。这个逻辑用grep没法直接做数值比较用awk一句话就搞定。除此之外awk还能做简单的汇总awk {sum$NF} END {print sum} file适合统计总请求量、总流量之类的场景。只要你理解“BEGIN、主循环、END”这个三段式模型awk其实并不难难的是你把它当成了“命令”去想而不是“一门微型的文本处理语言”。4. 对进程和端口说了算从ps到kill的排查链路4.1ps查看进程这一步做错后面全白搭处理进程问题的第一步永远是“找到目标进程”。很多人上来就ps -ef | grep java然后看到一大片输出懵了。为什么因为ps -ef的输出列非常多不一定每列都能看懂。更有效的是用ps aux它对运维更友好CPU、内存使用率直接显示在哪几列一眼能看出哪些进程是“胖子”。-ef和aux的区别网上有很多表格我就不堆了说重点ps aux --sort-%mem按内存排序适合定位谁吃内存。ps aux --sort-%cpu按CPU排序适合找谁在烧CPU。ps -C nginx按命令名精确匹配进程。如果只看某个具体进程的进程号pgrep比ps | grep更方便pgrep -f nginx-f是匹配完整命令行。还有pkill -f直接按命令行关键字杀进程但这里要特别提醒pkill -f非常危险因为它匹配的是完整命令行很可能把你用来执行命令的那个shell也杀掉。拿“找到进程再杀”来说完整的排查链路应该是# 先确认进程详情 ps aux | grep nginx # 如果找到看它的PPID父进程ID确认不是僵尸或孤儿进程 pstree -p 1234 # 确认无误后优雅停止 kill -TERM 1234 # 如果5秒后还没退出再升级处理 kill -KILL 1234很多人一上来就kill -9这是天大的误区。kill -9SIGKILL是不给进程任何清理机会的强制终止如果进程正在写数据库文件直接-9会造成数据损坏。正确的优雅停止方式是先发TERM信号也就是默认kill的行为让进程自己处理收尾工作。只有等了很久它都不肯退才轮到KILL上场。4.2 端口到底被谁占了ss/netstat一查便知排查“端口被占用”是Linux日常里出现频率极高的问题。老办法是netstat -tunlp但现在很多新系统没有直装netstat推荐直接用ss。ss -tunlp和netstat -tunlp输出基本一致-t查看TCP-u查看UDP-n不做反向DNS解析显示纯IP和端口速度快-l只显示监听中的端口-p显示占用端口的进程信息如果要看某个端口被谁占了直接ss -tunlp | grep 8080如果不想用管道用lsof -i :8080也行更加直观它会列出所有和该端口有关的进程。我在实际工作里更喜欢用lsof因为它还能查看某个进程打开了哪些文件lsof -p 1234。排查“文件句柄泄漏”“进程为什么删不掉某个日志文件”“磁盘明明空了但空间不释放”全都离不开这个命令。4.3 系统负载到底怎么样别被top骗了top是看系统整体负载的最常用工具但我发现很多新手有一个很大的误区只会盯着CPU使用率那一行看。实际上真正需要关注的是load average那三个数字以及每个进程的状态列。load average表示一段时间内的可运行进程数包括正在运行和等待CPU的如果你的机器是4核load average长期超过4就说明CPU已经排长队了。但注意load高不一定等于CPU满也可能是进程在做不可中断的磁盘IO状态列为D尤其是跑数据库的机器磁盘慢会导致load暴涨但CPU空闲。top里按P按CPU排序按M按内存排序这个交互快捷键要记住。更推荐的是用top -o %MEM直接在启动时按内存排好序。你想持续监控的话htop安装一个界面更友好还能直接F9选信号杀进程适合不太习惯top按键操作的人。5. 权限、磁盘和网络修车要会看仪表盘5.1chmod、chown的区分权限不是越大越好chmod用来改文件权限chown用来改文件属主和属组。这两个概念如果混了系统安全就是空谈。常见问题是把服务目录整个chmod -R 777然后服务依然起不来。为什么因为真正影响进程访问的往往是路径上每一级目录都要有可执行权限如果你只改了文件却没改它上一级目录照样被拒绝。举个例子用户www要读/data/app/config.yml那么/data、/data/app这两个目录至少要有r-x权限表明允许遍历。如果chmod改的是最里层的config.yml但chown没把目录属主改成www问题依旧。排查权限问题时不要只盯目标文件而要把从根目录到文件的整条路径走一遍逐层确认权限这个习惯能帮你省下大量时间。还有一个不多见但很重要的组合chmod us设置suid位。比如passwd命令有suid位普通用户执行它时才能临时拿到root权限去改密码。但新手千万别乱用chmod -R us /某个目录这等于给所有能进入该目录的人开了root后门安全风险极高。规则很简单系统自动管理的suid你别碰手动加这种位的场景基本都是极特殊情况。5.2 磁盘满了吗df和du要配合使用磁盘满是最常见的故障之一。排查步骤很固定先df -h扫一眼整体使用率再du -sh进入可疑目录逐层查看。df -hT-T显示文件系统类型能区分临时文件系统、真实磁盘和网络挂载避免误判。du -sh /var/log查看单个目录总大小。du -h --max-depth1 /home | sort -hr列出当前目录下所有一级子目录的大小并排序快速定位谁在占地方。但有一个经典坑明明du显示所有文件加起来才几十Gdf却说磁盘用了90%以上。这种情况通常有三种原因被删除的文件还被某个进程占用着句柄没释放、文件系统保留块空间占得太多、或者有隐藏的大文件没扫到。第一种最常见排查方式是用lsof | grep deleted找到删除了但仍在被占用的文件重载或者重启相关进程空间才能真正被释放。这种和“文件没删掉”的表象截然相反很多人对着df发半天愁都没想到是进程没重启。5.3 网络排查三剑客ping、curl、traceroute各管一段网络有问题先别乱怀疑。按层级来先通不通、再通到什么程度、最后是服务本身有没有响应。ping看链路通不通、延迟高不高、有没有丢包。traceroute新系统可能是mtr看路由经过了哪些节点判断是不是中间某跳崩了。注意很多云服务器会屏蔽ICMP导致traceroute显示* * *并不一定是网络断了可能是中间设备不响应需要结合两端点对点的连通性来判断。curl验证服务是否真的在响应。curl -I http://localhost:8080看响应头能确认HTTP服务有没有起来curl -v https://某域名能看到完整的握手过程和每一层细节排查证书、代理问题时特别有用。我自己的习惯是先ping网关和公网地址区分内外网问题再curl目标服务看端口和协议层是否正常。DNS不对导致的“网络不通”curl -v输出里会直接体现出来能看到它解析到了什么IP再改用IP访问一下就能定位。6. Shell脚本里的高频指令组合一条命令干完一整件事6.1 管道符背后的哲学Linux命令的哲学是“每个命令只做一件事然后用管道把它们串起来”。你看很多熟手能用一个组合指令完成看似复杂的工作就是因为他们把管道用明白了。管道符|的作用是“把前一个命令的输出作为后一个命令的输入”。比如ps aux | grep nginx | grep -v grep | awk {print $2}这条指令把进程列表中所有nginx相关进程的PID都提取出来了。里面grep -v grep这步尤其经典——它用来过滤掉命令本身里包含的“grep”那行因为在执行ps时命令行的grep nginx也会作为一个进程出现在输出里不把它过滤掉拿到的PID是错的。管道组合的威力在于你不需要额外安装什么工具就能用系统自带的指令解决实际问题。查看日志里访问量最大的前10个IPawk {print $1} access.log | sort | uniq -c | sort -rn | head -10这个组合我前面提过但它在面试里出现的频率真的太高了。能把这一串命令的含义讲清楚基本能证明你不是死背命令的人。6.2xargs连接两个世界有时候想对一组文件执行某个命令但文件的来源不是命令行参数而是另一个命令的输出。这时候就需要xargs。最经典的是“批量删除老日志”find /var/log -name *.log -mtime 7 | xargs rm -f这里find找到的是文件列表xargs把它们作为rm -f的参数批量传过去。如果没有xargs你就得写循环麻烦得多。但注意一点如果文件名里有空格xargs默认会拆错需要用-0配合find -print0才能正确处理。对于生产环境为了避免各种离奇问题还可以直接用find -exec代替前面的章节里提过。6.3 给命令加个保护壳set -euo pipefail写shell脚本时我强烈建议每个脚本开头都加上这三行配置#!/bin/bash set -euo pipefailset -e表示一旦某条命令出错立即退出脚本set -u表示使用未定义变量时直接报错set -o pipefail表示管道中只要有一环失败整个管道的退出码就是失败。这三行的作用是“出现问题就尽早暴露不带着错误往下跑”。很多线上事故都是因为脚本里某一步悄悄失败了但脚本没停下后续步骤在错误基础上继续执行最后才炸出大坑。加上这组配置后脚本的稳健性会有质的提升。7. 真实故障案例复盘指令是死的排查思路是活的7.1 案例一磁盘满但找不到大文件有一次收到一个告警一台应用服务器磁盘使用率达到了95%。我先df -h确认是/根分区满了然后进/跑du -h --max-depth1逐级排查发现/var里的日志确实占了不少但全部加起来也才30G左右和df显示的70G对不上。于是执行lsof | grep deleted看到有一堆 deleted 状态的日志文件还被java进程占用着——原来日志被logrotate删了但应用一直没释放句柄。解决办法不是硬删文件而是重启或reload那个Java应用空间才被真正回收。这个案例让我深刻理解了一个道理df和du统计的维度不同前者看的是文件系统分配情况后者看你遍历到的目录文件大小二者不一致时第一优先考虑“被删除但未释放文件”。7.2 案例二端口起不来但不是端口占用还有一次部署服务时反复报“端口被占用”我用ss -tunlp | grep 8080根本没看到进程在监听但服务就是起不来。后来排查才发现是nginx反向代理配置里把 upstream 指向了一个未启动的后端端口nginx 启动时做健康检查失败服务进程起来了又立刻被杀掉。日志里只写“connect() failed (111: Connection refused)”。这时候再回头排查问题根本不是“端口被本机进程占用”而是“nginx 连不上它上游的端口”。用命令排查时每一步结论都要有日志佐证别被报错信息的表象带偏。7.3 案例三权限没问题但脚本总说Permission denied写自动化脚本时脚本./test.sh执行报 Permission denied。新手第一反应chmod 777 test.sh。但加完权限还是不行。仔细一看脚本第一行是#!/bin/bash如果这个test.sh是从Windows编辑过再传上来的行尾是\r\n内核把第一行的解释器路径当成了#!/bin/bash\r自然找不到解释器报出来的错误就是Permission denied或No such file or directory。解决办法用sed -i s/\r$// test.sh去掉回车符再执行就完全正常。这类问题不是权限而是文件格式排查时用它教我的经验报错的表象和根因经常不在同一个地方要顺着链路一层层回溯。8. 最后再分享一点我的实操习惯写了这么多其实核心想表达的就一句话Linux命令本身并不难难的是理解它背后的运行机制和组合方式。ls、cd、cp这些是基础中的基础但它们组合起来可以解决非常复杂的问题。我的个人习惯是给常用命令做了一套自定义别名比如alias llls -lh --time-stylelong-isoalias ggrep --colorauto每次登录都能少敲不少字。再就是把高频使用的排查链路保存成小脚本比如找大文件、查端口、看进程树要用的时候一条命令调出来既省时间又不容易出错。如果你刚开始学Linux不要急着把所有命令背完先把手头最常用的十几个命令用好保证自己知道每个参数在干什么、为什么这么写。然后多做“组合式练习”比如用一条管道命令分析日志、统计访问量、找出可疑进程。这样练一段时间你会发现自己对Linux的理解已经不只是“会敲命令”而是真正能“驾驭系统”。