Linux 进程监控实战指南:ps、htop、lsof 三大利器详解

一、ps —— 进程查看的基石

ps（Process Status）是 Linux 中最基本也最强大的进程查看命令。它能告诉你：当前有哪些进程在运行、运行状态如何、是否存在僵尸进程、哪些进程占用了过多资源等。

1.1 基本语法

ps [选项]

1.2 核心参数速查

1.3 读懂 ps aux 输出

执行 ps aux 后，每一列的含义如下：

进程状态（STAT）详解：

补充： STAT 列还可能附带修饰符，如 <（高优先级）、N（低优先级）、s（会话首进程）、l（多线程）、+（前台进程组）。

1.4 进程树与线程栈

pstree —— 以树状结构查看进程关系：

pstree -p grafana    # 以 grafana 用户查看进程树，-p 显示 PID

pstack —— 查看进程/线程的调用栈：

pstack <pid>         # 输出指定进程的栈跟踪信息

多线程情况下，pstack 会分别显示每个线程的栈信息，这在排查死锁和性能问题时非常有用。

1.5 高频实战命令

# 查看所有 Java 进程ps aux | grep java# 显示某进程的所有线程ps -p <pid> -L# 自定义显示列ps -e -o pid,uname,pcpu,pmem,comm# 查看进程启动时间和运行时长ps -eo pid,lstart,etime | grep <pid># 按内存排序（降序）ps aux --sort=-rss# 按 CPU 排序（降序）ps aux --sort=-%cpu# 查看进程堆栈pstack <pid># 查看指定进程下的线程 ID 和 CPU 占用ps -eLo pid,lwp,pcpu | grep <pid>

二、htop —— 交互式进程监控神器

htop 是 top 的增强版，提供彩色界面、鼠标支持、横向/纵向滚动，体验远优于传统 top。

2.1 安装

# CentOS / RHELyum -y install epel-release htop# Ubuntu / Debianapt install htop# macOSbrew install htop

2.2 参数说明

2.3 界面四大区域

启动 htop 后，界面自上而下分为四个区域：

2.4 进程列表字段说明

2.5 htop 常用快捷键（补充）

三、lsof —— 一切皆文件的侦探

lsof（List Open Files）基于 Linux "一切皆文件"的哲学，能列出所有被进程打开的文件，包括普通文件、目录、网络套接字、管道、设备等。它是排查端口占用、文件锁定、磁盘空间未释放等问题的利器。

3.1 基本语法

lsof [选项] [文件名]

3.2 核心参数

3.3 输出字段解读

常见 FD 类型：

常见文件类型：

3.4 高频实战命令

# 查看谁在使用某个文件lsof /var/log/syslog# 递归查看目录下被打开的文件lsof +D /var/log/# 查看某用户打开的所有文件lsof -u nginx# 查看某程序打开的文件lsof -c mysql# 同时查看多个程序lsof -c mysql -c apache# 排除某用户lsof -u ^root# 查看指定进程打开的文件lsof -p <pid># 列出所有网络连接lsof -i# 只看 TCP 连接lsof -i tcp# 只看 UDP 连接lsof -i udp# 查看谁在使用 3306 端口lsof -i :3306# 查看指定端口的 TCP 连接lsof -i tcp:80# 查看某用户的所有活跃网络端口lsof -a -u username -i# 查找已删除但空间未释放的文件（排查磁盘满问题）lsof | grep deleted

四、实战场景速查（补充）

场景 1：排查 CPU 飙高

# 1. 找到 CPU 占用最高的进程ps aux  --sort=-%cpu | head -10# 2. 查看该进程的线程级 CPU 分布ps -p <pid> -Lo pid,lwp,pcpu,comm --sort=-pcpu | head -20# 3. 将线程 ID 转为十六进制，配合 jstack 定位 Java 热点代码printf  "%x\n" <lwp>jstack <pid> | grep -A 20 <hex_lwp>

场景 2：排查内存泄漏

# 按内存排序，找到内存大户ps aux --sort=-rss | head -10# 持续监控某进程的内存变化watch -n 2  'ps -p <pid> -o pid,rss,vsz,comm'# 查看进程内存映射详情cat /proc/<pid>/smaps | head -50pmap -x <pid>

场景 3：排查磁盘空间被占满但 du 找不到大文件

# 已删除文件仍被进程持有，空间未释放lsof | grep deleted# 找到后可以 kill 对应进程或重启服务释放空间

场景 4：排查端口占用冲突

# 查看 8080 端口被谁占用lsof -i :8080# 或使用 ss 命令ss -tlnp | grep 8080

场景 5：排查僵尸进程

# 查找僵尸进程ps aux | awk '$8=="Z" {print}'# 找到僵尸进程的父进程ps -o ppid=-p <zombie_pid># 通知父进程回收（发送 SIGCHLD）kill -s SIGCHLD <ppid>

五、三大工具对比总结

六、延伸阅读（补充）

除了本文介绍的三大工具，以下命令也值得了解：

• top —— 经典实时监控工具，htop 的前身

• pidstat —— 按进程统计 CPU、内存、I/O（属于 sysstat 套件）

• strace —— 跟踪进程的系统调用，排查异常行为

• ss —— netstat 的现代替代，查看网络连接更快

• nmon —— 综合性能监控工具，适合长时间数据采集

• /proc 文件系统 —— 进程信息的终极来源，/proc/<pid>/ 下包含进程的所有细节

掌握 ps、htop、lsof 这三大工具，足以应对日常 90% 以上的进程监控和故障排查需求。建议收藏本文，在实际工作中反复实践，逐步形成自己的排查思路和命令组合。