Linux常用命令实战指南：从文件操作到系统排查一次理清

很多人第一次打开Linux终端，面对那个黑底白字的窗口，心里其实有点慌。满屏的英文指令，也不知道该敲什么，更不敢乱敲，生怕一个回车下去系统就没了。但用久了你会发现，Linux的命令并不需要像背单词一样去记，真正高频的场景翻来覆去就那几类——文件操作、系统状态、文本处理、网络排查。这篇文章我就结合自己在生产环境里实际敲过的命令、踩过的坑，把Linux系统中最常用也最实用的指令一次性理清楚，希望刚入门的朋友能少走点弯路，已经上手的同学也能在细节上有所收获。

1. 文件与目录操作：越基础的命令越值得抠细节

1.1 列目录也不简单：ls 的各种组合用法

很多人用ls就只会敲一个裸的ls，然后看到一堆名字挤在那里。其实ls是这个系统里最值得多花两分钟熟悉的命令，因为它承载了你每天进入任何目录之后的第一次信息获取。

我最常用的组合是ls -l，也就是 long format，长格式输出。它会告诉你每个文件的权限、属主、属组、大小、最后修改时间，还有文件名。ls -la则是在-l的基础上加上a，显示隐藏文件。很多配置文件都是以点开头的，比如.bashrc、.ssh，不加a你是看不到的。

还有一个组合可能很多人没注意到：ls -ltr。这里的t是按文件修改时间排序，r是反向，合在一起就是"按修改时间从旧到新排列"。这个用法在做日志目录巡查的时候极其好用，因为你要找的往往就是最新产生的日志；往列表最下面一看，最新文件就在那里。比如进入/var/log之后直接ls -ltr，马上就知道哪个日志最近在更新、哪个已经不动了。

ls -ld也值得一提。d表示只显示目录本身的信息，而不是目录里的内容。当你执行ls -l /opt/app时，你看到的是/opt/app里面的文件；但如果你想知道/opt/app这个目录本身的权限对不对，就要用ls -ld /opt/app。

1.2 目录切换和路径管理：cd 和 pwd 的细节

cd应该是最没有技术含量的命令了，但这里有两个小技巧非常实用。

第一个是cd -。这个命令会切换到你上一次所在的目录，相当于一个"回退键"。我在处理多层路径嵌套、需要在两个项目目录之间来回操作时，就是靠这个命令省掉了大量重复输入。第二个是cd ~或者直接裸敲cd，会回到当前用户的家目录。配合/（根目录）、.（当前目录）和..（上级目录）这几个路径概念，基本上日常目录切换就全覆盖了。

pwd是打印当前工作目录，很多人觉得它没什么用。但在写脚本、配定时任务、排查环境变量问题的时候，pwd能帮你快速确认自己到底在哪个路径。我自己有一个习惯：只要在一个新的会话里要操作重要文件，必先pwd确认一次，防止在错误目录里执行后面的命令。

1.3 复制、移动、删除的安全操作姿势

cp、mv、rm这三个命令，是刚学Linux时最容易出事的地方。先说cp，如果你要复制整个目录，必须加-r，递归复制；如果嫌以后麻烦，直接用cp -a，它能在递归的基础上把权限、时间戳这些属性一起保留。这个-a在实际备份时非常有用，因为它保证复制出来的东西和原件几乎一模一样，而不仅仅是内容相同。

mv看似简单，它既可以移动文件，也可以重命名文件。在生产环境里，我更倾向于用mv来做一种"软删除"：不确定一个文件能不能删的时候，先mv到一个临时目录，确认系统运行正常之后再去清理。比起rm，这是一种温和得多、也可恢复的操作方式。

rm是重点中的重点。裸rm和rm -rf的区别相信每个人都听过，但我还是想多说一句：rm -rf里那个f代表 force，不提示直接删，r代表递归，连目录带子文件一起删。两个参数加在一起，再加上你路径写错，就是生产事故的经典配方。所以我有几条铁律：

• 在重要的机器上，给rm设置一个别名，让它变成rm -i，每次删除都会先问你一句。
• 删除之前先ls确认路径存在且内容确实是你想要删的。
• 能先mv到/tmp就先不要rm。

rm -rf /这种灾难性操作，我实际没遇到过，但见过有人把空格打错，导致删错了项目目录。建议大家在练习环境里多感受几次rm -i和rm的交互差异，形成肌肉记忆。

1.4 查找文件和磁盘占用：find、du、df 的配合

找文件用find，这是很多新手容易忽略但生产环境里几乎天天要用的命令。

最基本的用法是按名字找：find /opt -name "*.log"，在所有 /opt 下找后缀是 .log 的文件。再加个-type f可以只匹配普通文件，排除目录。find还支持按时间过滤：-mtime +7表示修改时间在7天以上的文件。如果你想找最近一天内刚改过的文件，就是-mtime -1。

这里有个容易踩坑的点：find配合-exec和配合xargs的区别。-exec rm {} \;这种写法是每找到一个文件就执行一次 rm，速度慢，但比较直观。更高效的是find ... -print0 | xargs -0 rm这种管道写法，一次批量删除，而且用-0和-print0配合能处理文件名里带空格的情况。我建议先把-exec学会，等理解了之后再切换成 xargs 提速。

磁盘占用排查是 Linux 运维里最常见的需求之一。df -h可以看整个系统各个分区用了多少，-h表示用人类可读的方式显示 G、M 这种单位。而du是看某个目录的实际大小：du -sh *会列出当前目录下每个子目录和文件的总大小，哪个目录占了几百G一目了然。排查思路通常是先用df -h找到快满的分区，再进对应目录用du -sh *从大到小逐层定位，最后用find或ls确认具体是哪些文件占的。一套组合拳下来，磁盘问题基本都能锁定。

2. 系统状态与进程排查：看到问题怎么定位

2.1 登机第一件事：uptime 和 load average

我每次登录一台 Linux 服务器，第一件事就是执行uptime。它会在输出里告诉你当前时间、机器已经运行多久、当前登录用户数，以及最近 1 分钟、5 分钟、15 分钟的负载平均值。

很多新手看到 load average 三个数字就发懵。你可以把负载理解成"在这段时间里，有多少任务在排队等着被 CPU 处理"的综合指标。如果服务器 CPU 核数是 4，那负载长期在 4 左右说明每个核都有活干，系统满载但还算稳定；如果负载到了 20 而 CPU 只有 4 核，那说明有大量任务在排队，机器已经明显过载了。要结合 CPU 核数来看负载，不要孤立地看数字。另外，第三个数字（15分钟平均值）比第一个数字更能反映系统长期状态，因为它代表了相对稳定的趋势。

2.2 top 的批处理用法和进程视图

top是一个交互式命令，进去之后就占了整个终端。它上半部分显示系统整体状态，包括负载、进程数、CPU 使用率、内存使用情况；下半部分是当前占用资源最高的进程列表。在里面可以直接按P按 CPU 占用排序，按M按内存占用排序，按q退出。

但在脚本和实践自动化场景里，我们更多用top -bn1：-b是批处理模式，不会进入交互界面；-n1是只执行一次。这个输出可以直接给别的命令做二次处理，比如抓出 CPU 占用最高的进程。我再强调一个小技巧：top -bn1 | head -20可以只查看前 20 行，避免整个屏幕刷出太长内容。

进程状态里有一个需要注意的状态叫Z，也就是 zombie，僵尸进程。僵尸进程已经死掉，但由于父进程没有回收它，所以一直占着一个进程表项。偶尔一个僵尸进程不用太紧张，但如果数量持续增加，通常说明某个父进程的状态不正常，需要找到那个父进程去看原因。

2.3 ps 两大家族：aux 和 -ef 的差异

ps用来查看进程，Linux 里有两套风格，一套叫 BSD 风格，一套叫 Unix 风格。最常用的分别是ps aux和ps -ef。

ps aux输出里有一个很有用的列叫 STAT，它是进程状态标志；ps -ef的输出里则有 PPID，也就是父进程 ID，这在排查进程血缘关系时很好用。两套命令查出来的关键信息基本相同，只是格式侧重不同。新手不用纠结哪个更好，两个都记住，见到哪个都能读就行。

查进程时最常见的组合是ps aux | grep xxx。但这里有个经典坑：grep命令本身也会出现在结果里，因为它在搜索包含"xxx"的同时，自己的命令行里也包含了"xxx"这几个字符。解决方法是grep后面加一个[x]xx这样的正则技巧，或者用grep xxx | grep -v grep把 grep 自己排除掉。我第一次见到[x]xx这种写法时觉得挺巧妙，本质就是让你要搜的关键字符当中有一个被框起来，它照样能匹配，但 grep 进程自身的命令行里就不完全匹配这个模式了。

pgrep是一个更推荐使用的工具，pgrep -f ssh可以直接返回符合条件进程的 PID，完全绕开了刚才那个自匹配问题。配合kill使用非常顺手。

2.4 内存、缓存和日志：别被表面数据吓到

free -h是看内存的命令。这里有个非常常见的误解：看到 used 的数字很大、free 的数字很小，就觉得内存不够了。实际上 Linux 的内存管理机制会尽量利用空闲内存做缓存，这部分用buff/cache标记。当某个应用程序真正需要内存时，这些缓存会被释放出来给应用用。所以判断内存是否紧张，更该关注的是 available 那一列，它表示估算有多少内存是可以直接分配给新程序的。

系统日志也是排查问题的重要入口。dmesg用来查看内核环形缓冲区消息，硬件故障、磁盘 I/O 错误往往在这里有记录。到了 systemd 时代，journalctl逐渐取代了传统日志查看方式，journalctl -u后面加服务名可以看某个服务的所有日志，格式上还带时间戳，确实比在/var/log底下翻文件方便了不少。不过像/var/log/messages这种传统日志文件依然存在于大量老系统中，不能完全不懂。

2.5 kill 的正确姿势：先温柔后暴力

kill命令的本质是向进程发送信号，不是"杀进程"。最常用的是kill -15（默认就带 -15），也就是告诉进程"请你优雅退出"，让进程自己处理收尾工作。当进程不理会这个请求，或者它本身出问题无法响应时，才会用到kill -9，强制由内核直接终止它。-9这个信号不能被进程捕获，等于是直接拔电源。

我在排查故障时有一条基本顺序：先用kill或kill -15，看看进程是否真的退出，等几秒再检查进程列表；确认无效后，才考虑kill -9。一上来就kill -9虽然快，但可能让进程来不及写缓冲数据、来不及清理临时文件，留下一些隐藏后患。

3. 文本处理三件套：grep、sed、awk 的高频组合

3.1 grep：过滤日志的必备基本功

grep的作用是在文本中按模式匹配行。最基本的grep error app.log会输出 app.log 里所有包含 error 的行。加上-n可以同时显示行号，-c可以只输出匹配到的次数，-i忽略大小写。

用到生产日志排查时，光有精确匹配往往不够。grep -E代表扩展正则，比如grep -E "error|exception|timeout" app.log可以一次性匹配多个关键词；grep -v是反选，把不包含特定内容的行显示出来，比如先剔除无意义的 DEBUG 行；grep -A 5和grep -B 5则分别显示匹配行之后和之前的5行，这个看异常堆栈特别好用，能把异常上下文一并捞出来。

有一个小坑：日志文件很大，直接 grep 一个常见词会刷出几万行。这时候建议先grep -c数一下大概有多少行匹配，再决定要不要进一步缩小范围，而不是一头扎进海量输出里。

3.2 sed：不要只会看，要会改

sed的看家本领是对文本做编辑操作，它在命令行领域最强的功能就是替换。基本命令是sed 's/旧文本/新文本/g' 文件名，其中s表示替换，g表示这一行的所有匹配处都替换，而不是只替换第一个。注意这个命令默认只是把替换结果输出到屏幕，并不会改原文件；真正要改回原文件需要加-i参数，sed -i 's/旧/新/g'。

给-i加一个后缀可以生成备份文件，比如sed -i.bak 's/old/new/g' config.conf，它会在修改之前先保存一份 config.conf.bak。我特别推崇这个习惯，因为一旦发现替换结果不对，还能马上恢复。有一回我在线上改配置，用sed -i直接改，结果正则写错了把一个字段名改成了残缺状态，幸好当时习惯性地加了.bak，几秒钟就回滚了，不然那次可真要手忙脚乱。

除替换外，sed经常和-n一起用，配合p来打印指定行。比如sed -n '10,20p' /var/log/app.log就是只显示第10到第20行，在查看超大日志文件的某个段落时非常有价值。

3.3 awk：按列切割和统计的利器

awk是文本处理三件套里上限最高的一个。它的默认行为是按空白（空格或 Tab）把一行切成多列，第一列叫$1，第二列叫$2，依此类推，$0是整行。最简单的场景：日志格式是时间 + 级别 + 内容，你只想知道每条日志的级别，awk '{print $2}'就能把第二列全部摘出来。

配合-F可以指定分隔符。比如很多日志用逗号或竖线分隔，awk -F',' '{print $1}'就是按逗号切分。awk还支持条件过滤，awk '$3 > 500 {print}'会只输出第三列大于500的行；它还有NR（当前是第几行）和NF（当前行共有几列）两个内置变量，这两个在格式化输出时太常用了。

生产环境里我经常用 awk 做简单统计。比如日志里有一列是响应时间，我想算所有请求的平均响应时间，可以用awk '{sum+=$NF; count++} END {print sum/count}' app.log。END块表示所有行都处理完之后执行一次，配合累加和计数，就是一个很实用的平均统计器。类似的思路还可以统计某个关键词出现的次数、按某个条件汇总总量，都能在命令行直接完成，不需要把文件下载到本地再用 Excel 处理。

3.4 三件套组合实战：从日志里捞问题

说了这么多，来个组合案例。假设 app.log 里有这样的格式：[2024-11-20 10:15:03] ERROR 192.168.1.10 user_login timeout，我想找出今天所有 ERROR 行里来源 IP 的分布，再看看哪个 IP 报错最多。

第一步，先按日期和级别过滤：grep "2024-11-20" app.log | grep ERROR。

第二步，用 awk 提取第四个字段，也就是 IP：awk '{print $4}'。

第三步，排序统计计数：sort | uniq -c | sort -rn。uniq -c的作用是合并相邻的重复行并统计次数，所以前面一定先要sort；sort -rn的-r是反向排序，-n是数字排序，让次数最大的排最上面。

一条完整的命令就是：grep "2024-11-20" app.log | grep ERROR | awk '{print $4}' | sort | uniq -c | sort -rn。这就是日志分析的经典管道链，也是我觉得最能体现 Linux 命令魅力的场景——不需要装任何分析软件，几条命令拼接起来就能得到答案。熟练之后，你会越来越依赖这种组合方式，因为它实在太快了。

4. 网络与存储诊断：命令不在多，会找问题才行

4.1 网络地址和端口：ip 与 ss 时代的姿势

老一代教程里讲的ifconfig和netstat在现在的很多发行版里已经不再默认安装了，它们被ip和ss取代。ip addr看本机 IP 地址，ip link看网卡状态，ip route看路由表。这些命令的参数确实和老的 ifconfig 不一样，但逻辑更清晰，输出也更结构化。

查看端口监听和连接状态，ss -tunlp是个极好的命令。-t表示 TCP，-u表示 UDP，-l表示只显示监听中的端口，-n是不要反解域名，-p是显示对应的进程。当你想知道"8080 端口到底被哪个服务占着"，ss -tunlp | grep 8080是标准答案。我刚工作时习惯用 netstat，后来发现在新系统里经常提示命令不存在，切换成 ss 之后就再也没回去过，因为它不仅默认自带，输出速度也快很多。

4.2 连通性测试：ping、curl 和 DNS 查询

ping用来测一个地址通不通，ICMP 协议层面的探测。但它有几个边界要知道：很多服务器会禁 ping，防火墙会丢弃 ICMP 包，所以 ping 不通不等于服务不可用；反之 ping 得通只代表能到达那一层网络，不代表应用端口正常。我在排查时把 ping 当成第一层筛查，更深入的还要看端口和应用层。

要快速验证一个 HTTP 服务是否正常，curl是我的首选。命令本身只是个数据传输工具，但它附带的能力极适合做接口探测。curl -I http://localhost:8080只拿响应头，能看到状态码；curl -v会打印整个请求和响应的详细过程，包括证书信息、HTTP 头、重定向路径，这些对排查接口问题非常直观。想模拟 GET 之外的请求可以用-X POST，想带数据用-d，想看耗时还能加-w "%{time_total}"。这一条 curl 命令顶得上半个接口测试工具。

DNS 排查常用dig或nslookup。域名解析不出结果或解析到错误 IP 时，先用dig @8.8.8.8 域名指定一个公共 DNS 服务器来排除本机 DNS 配置问题，是效率很高的做法。这个场景在云上和办公环境里都很常见。

4.3 磁盘挂载和存储问题

df -h前面提过，是看分区使用率的。但还有一个被很多人忽略的命令是df -i，它检查的是 inode 的使用率。inode 是 Linux 文件系统用来记录文件元数据的结构，当你创建了大量小文件时，inode 可能先被耗尽，这时即使磁盘还有空闲空间，系统也会报 "No space left on device" 错误。这个坑的隐蔽之处在于df -h看起来明明还有几十G，但新文件就是写不进去。我有一次排查写不进文件的问题，花了不少时间，最后发现就是/tmp目录里堆积了海量小文件导致 inode 耗尽，df -i一查就现形了。

挂载新磁盘时，mount命令是核心。mount -t ext4 /dev/sdb1 /data这种格式要记住，但更重要的是要在挂载之前意识到文件系统类型、设备名称要匹配，挂载之后用df -h或lsblk来验证。lsblk是个很直观的工具，它以树状列出所有块设备，挂载点一眼就能看出来。

4.4 查看实时连接和带宽：网络排查的进阶

当服务响应慢，疑心是网络问题或者连接数满了的时候，可以用ss -s看看当前所有连接和套接字的汇总信息，留意 TIME_WAIT、ESTABLISHED 的数量。如果 TIME_WAIT 数量异常高，通常会伴随端口耗尽或性能下降，这个在长连接服务里比较常见。

带宽测速的临时工具，我一般用iperf3。一端起服务端iperf3 -s，另一端跑客户端iperf3 -c 对端IP，几秒钟就能测出两点之间的实际传输带宽。这种手段在跨机房迁移、云上带宽质疑的场景里特别有价值，能用数据来消除争论，而不是靠感觉判断"是不是网络卡了"。

5. 效率升级：别名、历史、前后台与权限管理

5.1 用 alias 把常用命令缩短，把危险命令加锁

alias是一个 shell 内建功能，用来给命令起一个更短的名字。我几乎在任何一台工作机上都会配这么几行：

alias ll='ls -l' alias la='ls -la' alias grep='grep --color=auto'

最值得推荐的 alias 是把危险命令加上确认提示：

alias rm='rm -i'

设置之后，再执行rm删除文件时系统会逐个询问确认，这算是我信赖的一道防线。要注意的是 alias 默认只在当前会话有效，要永久生效就得把它写进~/.bashrc这样的配置文件，然后执行source ~/.bashrc或者重新登录来加载。

5.2 history：上下翻页之外的高级用法

按键盘上的上方向键翻历史命令，是最原始的方式。配合history命令本身，能看到完整的命令编号和历史记录。真正高效的是几个快捷方式：

• !!表示上一条命令。如果你是sudo身份执行时提示权限不足，可以sudo !!直接把上一条命令用管理员权限再执行一遍。
• !$表示上一条命令的最后一个参数。例如你先执行cat /etc/nginx/nginx.conf，随后想编辑它，就可以直接vim !$。
• Ctrl + R进入反向搜索，输入几个字母，shell 会帮你从历史记录里匹配相近的命令，回车即可执行。用得多了之后，我几乎很少靠肉眼翻历史记录。

history 还有一个安全注意点：它默认会记录大量命令，包含密码、密钥信息的命令可能会泄露到历史文件里。不要在命令行直接传密码参数，这个习惯值得养成。

5.3 任务前后台切换与 nohup

在终端里执行一个耗时任务，但又不想一直等在那里，可以把这个任务放到后台去。

基本流程是这样的：执行命令时在末尾加一个&，命令会直接放到后台运行，同时给你返回一个任务号。如果你已经开始执行了才发现要等很久，按下Ctrl + Z可以把它暂停，暂停后执行bg会让它转为后台继续跑。jobs可以列出当前 shell 的所有后台任务，fg可以把指定的后台任务拉回前台。

但这里有个坑：用&起的后台任务，在你关掉终端的时候可能会收到挂断信号，直接被杀掉。如果你希望任务在你退出之后继续运行，就要用nohup：nohup 你的命令 > 日志文件 2>&1 &。这个命令翻译成大白话就是"不接电话，断开也不挂断"。

我把这三段链路讲清楚，你能明显感受到 shell 的任务管理是很灵活的。实际生产中跑一些长脚本、临时起个服务、挂一个数据同步任务，这些技巧几乎天天用到。

5.4 权限与属主：chmod、chown 避坑指南

chmod用于修改文件权限，数字表示法chmod 755是最通俗的。755 里的三位数字分别代表属主、属组、其他人的权限，7 是读+写+执行，5 是读+执行，所以 755 就是"属主全权，其他人只读和执行"。目录的默认权限经常是 755，普通文件常用 644。

chown用于修改属主和属组，常见格式是chown 用户名:组名 文件。改文件归属的一个高频场景是部署新项目以后，Web 服务进程跑在某一个专用用户下，需要把代码目录 chown 给那个用户，否则进程无法读写。

特别想提醒的是chmod 777这种权限给法。很多教程为了让问题"快速被解决"，直接让人 777，但生产环境里这就是给恶意行为开了一扇门。宁可多花点时间想清楚这个文件/目录需要哪些用户可读可写可执行，也不要图省事全部放开。权限永远是"最小够用"原则。

5.5 我的日常命令清单，按场景速查

最后，我把这些命令按应用场景归成一个小清单，方便你日常翻阅：

这个清单本身就是一个很好的练习册，每一项都是我在真实操作中反复用到的。建议你把每个命令都亲手跑一遍，把单条命令吃透之后，再尝试把管道和多命令组合起来，这样用起来才会真正形成肌肉记忆。

我在实际使用中最深的感受是：Linux 的命令学习没有捷径，但它也绝对不是什么高难度的事情。你不需要背着几十条命令死记硬背，只需要把自己放进真实的场景里——文件找不到了就搜 find，日志刷得太快就学 grep，端口被占了就查 ss。每一个需求都会向你展示它对应的那条命令，次数多了，这些命令自然就长在你身上了。最重要的是，每次操作之前多想一步，确认路径、确认参数、确认影响范围，这比多记十个命令更能保护你的生产环境。