Linux跟踪进程访问的所有文件？

Question

有没有办法跟踪给定进程的所有文件I/O？我真正需要的是从给定进程读取/写入的文件的位置(理想情况下,如果它是读取或写入操作,尽管这并不重要).

我可以运行该流程并跟踪它,而不是需要附加到现有流程,我认为这个流程要简单得多.是否有任何类型的包装实用程序我可以运行一个进程虽然会监视文件访问？

Answer 1

尝试这样做作为首发:

lsof -p <PID>

此命令将列出所有打开的文件,fd,套接字......

为了满足您的特殊需求,请参阅我可以提供的监控PHP脚本的解决方案:

php foo.php & _pid=$!
lsof -r1 -p $_pid
kill %1 # if you want to kill php script

作为更好的选择,我建议使用strace:

strace -f -t -e trace=file php foo.php

或者对于已经运行的过程:

strace -f -t -e trace=file -p <PID>

Answer 2

除了 strace 之外，还有另一个选项，它不会显着减慢受监视的进程。使用Liunx 内核的fanotify（不要与更流行的inotify 混淆）可以监视整个挂载点的IO 活动。使用非共享的挂载命名空间，给定进程的挂载可以与系统的其余部分隔离（docker 背后的关键技术）。

这个概念的实现可以在shournal中找到，我是它的作者。

外壳上的示例：

$ shournal -e sh -c 'cat foo > bar'
$ shournal --query --history 1
...
  1 written file(s):
     /home/user/bar
  1 read file(s):
     /home/user/foo