谁最后修改了文件？

Question

有没有办法告诉谁（哪个用户）最后修改了 Linux (RHEL) 中的最后一个文件？

Answer 1

不，没有可靠的方法可以发现这一点。

该stat命令向您显示关于文件的所有已知信息（实际内容除外）。你可以添加 -Z 选项来获取一些 SELinux 信息；但这些都没有告诉你谁最后修改了文件。

Answer 2

这远不可靠，但如果我们谈论 shell 访问，您可以与当时登录的用户交叉引用文件的修改时间 ( last)，然后检查他们的 ~/.bash_history （或等效的）以进行编辑命令。甚至grep -H filename /home/*/.bash_history可以给你一个起点。