★ FEATURED ARTICLE 说实话我在带新人或者帮朋友排查服务器问题时最常被问到的一句话就是“Linux指令到底要怎么记”每次听到这个问题我都想反问一句你记家里钥匙的时候是把所有门锁的结构都背下来还是只记那几把常用的钥匙Linux常用命令也不是用来背的而是用来理解、组合、随时查的。这也是我为什么想把多年摸爬滚打攒下的Linux指令用一套“公式”讲清楚的原因。这不是一份指令字典而是一条从“看懂命令”到“高效排障”的路线图。不管你是刚接触服务器的学生、转行的运维还是被日志逼疯的开发者照着这个思路走至少能省下一半查文档的时间。1. 先搞懂命令结构Linux指令不再靠死记硬背1.1 一条命令到底由什么组成我在培训时经常让学员做一个小动作随便敲一条ls -l /etc然后拆开看它到底有几部分。答案其实很固定命令名、选项、参数再加上shell环境的解释。ls是命令本体告诉系统“我要列目录”-l是选项表示“用长格式显示”/etc是参数告诉命令“我要看哪个目录”。理解了这三个部分你会发现Linux指令的学习难度直接降一个台阶。但只懂这个还不够。真正让新手懵掉的是环境变量和别名。比如你敲ll很多发行版能列出详细目录但ll并不是系统核心命令而是.bashrc里定义的一个别名本质就是ls -l。再比如你执行python可能进的是 Python 3也可能是个报错——因为python这个命令名在 PATH 指向的目录里可能根本不存在。所以我一直建议先搞清楚which、type、alias这几个辅助指令它们能帮你快速理解“我敲的东西到底是谁在执行”。有调查过“为什么同样一条命令在Ubuntu上能用在CentOS上报错”吗这大概率不是命令本身错了而是包没装、权限不够、路径不同、shell语法有差别。学Linux指令时最忌讳的就是“这台机器上能用就够了”把命令背后的逻辑吃透换个环境才不会抓瞎。1.2 用“查”代替“背”三条救命指令我曾经让一个刚入行的同事去查某个服务怎么重启他第一反应是跑到搜索引擎上搜而不是先看本机上的man systemctl。这是个典型误区。Linux自带的手册和帮助系统已经覆盖了绝大多数指令的用法至少先把man、info、--help用熟比什么都强。具体怎么用遇到不认识或者记不全的命令先敲man 命令名。比如man grep里面会按 SYNOPSIS、DESCRIPTION、OPTIONS 分块解释看起来密密麻麻但你只需要关注当前场景对应的那一段就行。怕 man 页太长可以先man -k 关键词或者用apropos搜索相关命令。比如你想找一个“改变文件所有者”的命令输入apropos owner系统会列出chown、chgrp等候选比搜索引擎快多了。还有一个被很多人忽略的操作命令名 --help。大多数常见命令都支持这个参数输出比 man 页精简适合快速确认参数。我个人的习惯顺序是--help先看概览拿不准细节再看man实在没头绪再用apropos。这套“查命令”的组合拳能覆盖日常 90% 的“突然忘了”场景。2. 文件与目录操作定位、复制、删除的完整套路2.1 从 ls 到 find定位文件的完整链路文件和目录操作是Linux里最基础也最高频的场景但很多人只会ls cd cp mv rm一遇到“找文件”就开始层层cd效率极低。其实这条链路是很清晰的先看当前位置用pwd再粗看当前目录内容用ls -lah这里的-a显示隐藏文件-h让大小变成人类能读的 K/M/G-l显示权限、属主、修改时间。这组合比光秃秃的ls有用得多。接下来是定位。如果你想知道某个程序在哪个目录用which想知道某个文件在哪用locate需要先 updatedb或者直接上find。很多新手觉得find难其实它只是参数多。我用的最多的几个场景按名字找find /var/log -name *.log注意用引号包住防止 shell 展开通配符。按类型找find / -type f -size 100M找大于100MB的文件排查日志和临时文件特别好用。按时间找find . -mtime -1列出最近一天内修改过的文件排查“我到底改了什么”很有效。配合执行find . -name *.tmp -delete找到后直接删掉比手动一个个处理强太多。真正让我觉得find值钱的是它把“搜索”和“处理”串起来了。比如find /data -type f -size 500M -exec ls -lh {} \;可以找出大文件并显示大小。这个链路一旦熟练就不需要反复切换窗口翻目录了。另外提醒一点路径里如果带空格一定要给路径加引号否则 shell 会把空格拆成多个参数第十次踩这个坑都不奇怪。2.2 文件操作的安全底线cp、mv、rm 的教训复制、移动、删除这三件事看似简单其实隐藏的坑最多。先说cp新手经常写cp a.txt /backup如果/backup目录不存在它会把a.txt复制成一个名为backup的文件而不是建目录。所以复制前先确认目标路径是不是目录或者用cp -t /backup a.txt这种强制指定目标目录的写法。保留文件属性就用cp -a做目录迁移时务必带上这个参数否则权限、时间戳全变后面排查问题会非常痛苦。mv看起来人畜无害但跨文件系统移动时它实际是“复制删除”如果目标空间不够可能复制到一半失败源文件却没了。所以移动大文件前先df -h看一眼空间或者干脆先复制、校验再删源。还有一个细节mv到已有目录时如果同名文件存在它会直接覆盖不会像 Windows 那样问你是不是要替换。想安全一点可以用mv -i或mv -n。rm是我强调最多的指令没有之一。它一旦执行不会进回收站除非你装了trash-cli之类的工具。我自己踩过一次最深的坑写脚本时想清理临时文件结果变量没赋值命令变成了rm -rf /的前半截还好当时权限不够没有酿成大祸。从那以后我会给自己立几条规矩不用rm -rf删重要目录必须删时先用ls确认能用find精准圈定范围就不用通配符批量删除前先echo打印命令预览。这些听起来很基础但真遇到手滑的时候每一条都能救命。3. 文本处理Linux指令一堆能过滤和统计才算入门3.1 查看与过滤tail、head、cat、grep 的组合Linux 中最常处理的对象不是 Excel 表格而是日志文件、配置文件、命令输出。这时候cat虽然能看整个文件但文件一大就失控。我习惯把tail、head、less当成“文本浏览三兄弟”。tail -f app.log实时跟踪日志排障时最常用按 CtrlC 退出。tail -n 200 app.log只看最后200行而不是从文件头慢慢翻。head -n 20 app.log看文件开头比如配置文件的前几行注释。less app.log大文件分页查看按/搜索关键词按q退出。真正让文本处理上了一个台阶的是管道和grep。比如线上服务报错我会先tail -n 5000 /var/log/app.log | grep -E ERROR|Exception把日志里的异常行捞出来。不要只搜一个词grep -E支持正则可以一次匹配多种模式。再加个grep -v排除干扰项输出就会清爽很多。这里有个细节grep默认是“包含匹配”搜err会把error、errno都带出来。想精确匹配单词用grep -w error想忽略大小写用grep -i error这些组合参数千万别记混。很多人以为grep只能过滤其实它还能统计。比如grep -c pattern file直接返回匹配行数省得用wc -l二次处理。再配合tail -f和grep --line-buffered可以实时过滤日志关键词排障效率会明显提升。3.2 进阶三剑客sed、awk、sort 的日常用法如果说grep是文本处理的入门那sed和awk就是真正拉开差距的分水岭。我见过不少同事遇到“把配置文件里的IP换掉”、“统计接口访问次数”这类需求时打开编辑器手工改或者写一段很长的 Python 脚本。其实 Linux 指令里早就内置了干这活的工具。sed最常用的两个场景替换和删除。替换的格式是sed s/旧值/新值/g 文件注意这里不会直接改文件只是把结果输出到屏幕想原地生效要加-i。比如把配置里的 192.168.1.10 全部换成 192.168.1.20可以写sed -i s/192.168.1.10/192.168.1.20/g nginx.conf。这个操作比手动改几百行配置快得多但使用前一定要备份原文件因为sed -i改错了不会自动撤销。awk则更适合做格式化输出和统计。它的默认逻辑是按空白把每行拆成多个字段$1表示第一个字段$NF表示最后一个字段。比如查看系统里所有普通用户的登录 shell可以awk -F: {print $1, $7} /etc/passwd把字段分隔符指定为冒号。再复杂一点分析 Nginx 日志中的访问来源可以用awk {print $1} access.log | sort | uniq -c | sort -rn | head -20直接输出访问量最高的前20个IP。这一条管道串下来等于用一屏代码完成了一个小报表我第一次用的时候真的觉得“这才叫效率”。顺便提一下sort和uniqsort -rn表示按数值降序排列uniq -c表示统计重复次数。这两个指令几乎总是搭配出现单独用uniq去重的前提是数据已经排序过否则结果会非常诡异。把这段组合写成一条长管道时建议拆成多行每行一个命令注释说明用途后续排查和维护都会轻松很多。4. 系统状态与网络排查服务器异常时的急救指令4.1 进程与资源ps、top、free、df、du 怎么看服务器“变卡了”是最高频的求助场景很多人一上来就重启但重启只能解决表象真正的问题排查要按资源逐项来看。我排障的顺序基本固定先看负载和进程再看内存最后看磁盘。进程方面ps -ef和ps aux是两大金刚。区别是前者格式更简洁后者会附带 CPU、内存占用率找“是谁在偷吃资源”特别合适。比如ps aux --sort-%cpu | head -10能一眼看到 CPU 占用最高的十个进程。比ps更动态的是top它每隔几秒刷新一次系统状态按P按 CPU 排序按M按内存排序按q退出。想连续采集几次快照可以用top -b -n 3将结果输出到文件再慢慢分析。内存方面别只看free -m里的“available”和“used”。Linux 会把空闲内存用作页缓存所以free显示 used 很高并不一定代表内存不够关键是看 available 和 swap 的使用情况。如果 swap 一直在涨基本可以判定物理内存吃紧这时候再去排查具体是哪个进程占用的top和ps就会给出答案。磁盘方面先df -h看各分区使用率找到哪个分区快满了再用du -h --max-depth1 /var/log | sort -h定位到具体目录。很多人一上来就rm删日志但如果删完之后进程还握着文件句柄空间并不会真正释放。这时候要用lsof | grep deleted找出被删除但仍被占用的文件然后重启相应的服务进程。这个坑我踩过不止一次值得记下来。4.2 网络与服务ss、curl、systemctl 的协作网络排查对新手来说最容易“抬手乱打”。其实排查思路也就那么几个节点端口有没有监听服务能不能连连不上是防火墙、路由还是服务本身的问题先看端口监听老命令netstat -tlnp能看到监听端口和对应进程但新系统我推荐用ss -tlnp它的输出更快语义也更清楚。比如ss -tlnp | grep 8080一眼就能看出 8080 端口被哪个 PID 监听。如果端口根本没出来再systemctl status 服务名看服务状态服务没跑就systemctl start 服务名跑不起来就去翻日志journalctl -u 服务名 --since 10 minutes ago。这三条命令组合起来基本能解决一半的“服务起不来”问题。再往后就是验证连通性。本机先curl -I http://127.0.0.1:8080看返回头如果本机通、外部不通检查防火墙规则firewall-cmd --list-all或iptables -L -n。这里我特别想提醒curl不只是下载工具-I只看响应头-v打印详细请求过程是排查接口问题的神器。比如看到Connection reset by peer意味着连接被对端重置可能是端口不通、防火墙拦截也可能是服务崩了。把这些命令按“端口→服务→本地连接→外部连接”的顺序执行基本能精准定位故障层。另外权限永远别忘了。很多ss、lsof、iptables命令在普通用户下看不到完整信息报错或输出不全时先想想是不是该加sudo。当然也别动不动就sudo权限越大误操作的成本越大。5. 从单条命令到脚本把Linux指令串成自动化流程5.1 管道、重定向与变量把命令串成生产线单条命令学到再熟效率也有限真正让Linux好用起来的是把多条指令组合成流程。我打过一个比方单条命令是一台机床管道和重定向是传送带把不同机器的输出接起来就成了生产线。管道符|把前一个命令的标准输出接到后一个命令的标准输入。比如cat access.log | grep POST | wc -l先读日志再过滤 POST 请求最后统计行数。这三段各干一件事串起来就是一个统计任务。重定向也常用表示覆盖写入表示追加写入21表示把标准错误也合并到标准输出。比如定时任务里跑脚本把输出同时写到日志和屏幕上写成./backup.sh /var/log/backup.log 21这样报错信息也能被捕获不至于排查的时候一脸懵。变量是让脚本活起来的关键。比如写清理日志的脚本时可以用log_dir/var/log/myapp把目录定义成变量后面所有路径都引用$log_dir。这样要改路径时只改一行就行不用满世界找硬编码路径。变量名建议用大写或语义清晰的名别用a、b这种过半个月自己都看不懂。想让命令串更安全还有一个原则先打印再执行。脚本调试时在命令前加echo看输出是不是自己想要的再把echo去掉。比如批量删除临时文件先写echo rm -rf /tmp/app_*.tmp确认路径没问题后再真正执行。这个习惯能避免太多悲剧。5.2 循环与条件让我批量干活的小样板我最早学脚本就是因为一个重复劳动场景每天要把 20 个不同目录里的 log 打包再删掉三天前的旧包。手工操作要花半小时用 shell 循环几分钟就能跑完。循环本身并不难关键是理解它的结构和执行顺序。一个标准的for循环长这样#!/bin/bash for i in /var/log/app1 /var/log/app2 /var/log/app3 do tar -czf ${i}_$(date %Y%m%d).tar.gz -C $i . done这里要注意几个细节变量i最好用双引号包住避免目录名带空格时出问题$(date %Y%m%d)是命令替换能把日期命令的结果拼到文件名里循环体里的命令缩进不是必须的但强烈建议加上可读性会好很多。条件判断也一样最常见的写法是if [ -d $path ]; then。例如备份前判断目录是否存在if [ -d /backup/hercules ]; then cp -a /data /backup/hercules/ else echo 备份目录不存在正在创建... mkdir -p /backup/hercules cp -a /data /backup/hercules/ fi这类样板我写了几十遍说句实话脚本语法本身不难难的是把“要做什么”拆解成清晰的步骤。如果你能把一批文件操作的流程一步步说清楚那用循环和条件把它写成脚本只是时间问题。写完之后用bash -x script.sh调试它会一行行打印执行过程是定位逻辑错误最好的工具。6. 避坑总结那些年我误用的Linux指令6.1 几条让我记忆深刻的错误指令第一条是chmod 777。很多新手为了让服务能读写文件直接在目录上执行chmod 777 -R当时确实“生效”了但过几天就可能出安全事故任何一个普通用户都能改关键配置权限体系形同虚设。正确的做法是尽量细粒度授权比如给运行用户chown -R 用户:组 目录再只给必要的读写权限chmod 750或chmod 640。权限这件事够用就行不是越大越好。第二条是kill -9。进程卡死或占满CPU时大家习惯kill -9 PID强制杀掉。但这个信号是让内核直接终止进程进程没机会清理临时文件、释放锁、保存状态。对数据库或需要持久化的服务来说强行kill -9可能导致数据损坏。我现在的习惯是先kill PID默认发 SIGTERM观察几秒不行再升级到kill -9。如果是服务进程优先用systemctl stop优雅关闭。第三条是source和直接执行脚本的区别搞不清。比如修改/etc/profile或.bashrc后直接./script.sh执行不会让环境变量在当前 shell 生效因为它是子进程环境。只有source /etc/profile或. /etc/profile才会在当前 shell 里加载。很多新手配置完环境变量发现java -version还是没反应多半就是这里栽了跟头。6.2 总结经验如何把坑变成自己的技能踩坑不可怕可怕的是每次踩完坑都不总结下次继续踩。我的做法是给自己建一套“命令防误操作清单”重要命令执行前先打印涉及删除和覆盖的操作先在临时目录演练所有-rf参数都打全路径绝对不允许用rm -rf /这类模糊路径批量修改文件的sed -i和find -delete执行前先备份使用 root 时保持清醒能用普通用户就不用 sudo。日常运维时我还习惯开一个“命令历史审计”利用history加时间戳或用script命令记录终端操作过程。真出了问题可以回看都执行过什么而不是靠回忆。这些习惯看着繁琐但都能在关键时刻兜底。在排查定位这块我发现最有用的思路还是“分层”。从命令本身、到环境变量、到系统日志、到网络状态一层层排除。比如command not found先which确认命令是否存在再检查对应软件包有没有安装如果命令存在但执行异常再查权限和日志。把“一层层剥洋葱”的思路记在脑子里比背一百条具体指令更有用。学到后期你会发现Linux指令其实是一张网节点是命令连线是管道、重定向和脚本逻辑。真正的能力不在于你背了多少命令而在于遇到问题时你能判断用哪几条命令组合起来最快定位。我在实际工作中最受用的一个习惯就是随时把好用的组合记录下来形成自己的“命令库”。下次遇到类似场景直接翻自己的笔记比重新搜文档快得多。你如果能从头到尾把这套“理解命令、组合命令、谨慎执行、回头总结”的流程走一遍Linux指令对你来说就不再是一堆需要背的符号而是一套可以随手调用的工具箱。
阅读完成 · 觉得有帮助？
