在 Linux 中，有没有办法查看哪个用户更新了文件？

Question

Linux 是否记录上次更改文件（而不是创建文件）的人？如果是这样，我如何找到它？如果没有，是否有某种监视文件的方法？

Answer 1

查看谁对文件进行了更改

audit使用您的发行版的包管理器安装包并启动服务。

为您感兴趣的文件设置监视，例如 /etc/passwd

# auditctl -w /etc/passwd -p war -k password-file

查看该audit文件的记录

# ausearch -f /etc/passwd | less