Linux命令速查宝典：高频操作、场景索引与排障实战

1. 为什么我一直想写一份Linux命令速查

这些年工作中有一件事印象特别深：组里的新同学入职，第一周几乎天天抱着图形界面点来点去，部署一次测试环境要花一下午。后来我拉他坐下，把他的高频操作一条条换成了Linux命令，他当场愣住——原来一条grep加一条awk就能把他反复手工过滤日志的半小时压缩成 3 秒。这个场景在我带过的团队里反复出现，也是我整理这份速查宝典的初衷。

Linux命令不是用来背的，它是用来“省时间”的。它的核心逻辑其实特别简单：一切皆文件、命令加参数、输出可再输入。理解这三句话，比记住几百条命令有用得多。你能用它快速看服务器状态、定位故障、批量处理数据、写脚本自动化重复劳动，甚至能把一台空机器从零搭成完整的运行环境。对开发者、运维、测试、数据分析师来说，这是绕不开的基本功；对刚入门的新手来说，这份整理可以帮你避开“记了忘、忘了查、查了又忘”的死循环。

到底学哪些命令才算“够用”？我的判断标准是：不需要你把 man 手册背下来，而是把日常高频场景覆盖住——文件操作、文本处理、权限管理、进程排查、网络诊断、系统状态查看、Shell 组合技巧。这正好是这份速查的主线。我不打算罗列所有命令的每个参数，只挑那些真正在排障和自动化里用得上的部分，每一条都会解释为什么用它、底层大概是什么机制、最容易踩什么坑。

另外说句实在话：很多人收藏了一堆“最全命令大全”，真到用时还是抓瞎。问题的关键不是命令少，而是缺少一套“遇到问题该往哪个方向查”的索引逻辑。所以这份速查除了命令本身，还配了场景索引和问题排查表，希望能让你在终端里更从容，而不是被终端吓住。

2. 入门高频命令：先把手头的事干起来

2.1 文件与目录操作：ls、cd、pwd、cp、mv、rm

文件操作是 Linux 里最底层的动作，也是新手最先接触的部分。pwd用来确认当前所在目录，避免“我在哪、我在干什么”的迷失感；cd切换目录时可以配合绝对路径和相对路径，cd ..返回上级，cd ~回到当前用户家目录，cd -返回上一次所在目录，这个参数在两条深路径之间反复横跳时特别好用，我几乎每天都会用到。

ls的重点不在“列出文件名”，而在于看清文件的全貌。日常我会用ls -lh，-l输出详细信息（权限、属主、大小、时间），-h把大小显示成人类可读的 MB、GB。要连隐藏文件一起看就加-a，也就是ls -lah。按时间排序用ls -lt，排完序想倒过来看最老的文件，加-r变成ls -ltr，排查“哪个日志文件把磁盘写满了”时，这一条命令的价值立刻体现出来。

拷贝和移动需要注意三个细节：

• cp -r才能复制目录，忘了-r会直接报错“omitting directory”，我第一次用 Linux 就被这个错误教育过。
• mv移动和重命名是同一个命令，mv old.txt new.txt是改名，mv file /tmp/是移动。跨文件系统移动时底层是“复制+删除”，大文件会慢，要有心理准备。
• rm -rf是危险系数最高的一条，-r表示递归删目录，-f表示强制不询问。它能删掉整个目录树，包括里面所有子目录和文件。我的习惯是先在测试目录里试好路径，再用ls确认一遍，最后才执行。生产服务器上我还会额外加-i参数，让删除前逐个确认，虽然麻烦，但能救命。

文件查看方面，cat适合看小文件，less适合看大文件。less支持上下翻页、/关键词搜索、g跳到文件头部、G跳到文件尾部，查看几百 MB 的日志时，less的性能和交互体验远胜cat加鼠标滚轮的方案。head -n 20看前 20 行，tail -n 50看最后 50 行，而tail -f是跟随模式，会持续输出文件新增的内容，排查实时日志几乎离不开它。

2.2 查看文件内容与搜索：grep、find、locate

grep是文本搜索的王者，核心用法是“在文件里按模式找行”。最常用的组合是grep -rn "关键词" /某个目录，-r递归搜索目录下所有文件，-n显示行号，方便直接定位到具体位置。-i忽略大小写，-v反向匹配（排除包含关键词的行），-c统计匹配行数，-A 3和-B 3分别显示匹配行之后和之前的 3 行上下文。排查程序报错时，grep -A 10 "Exception" app.log可以把异常堆栈一并带出来。

grep默认支持基础正则，比如grep "^2024-" app.log找以2024-开头的行，grep "error|fail" -E app.log用扩展正则匹配多个关键词。要记住一点：grep是按“行”工作的，一次匹配失败不是文件里没有内容，而是这一行里没有你要的模式。这个认知能帮你减少很多无效怀疑。

find用于按文件名、类型、大小、时间查找文件，它和grep是两种维度：grep搜内容，find搜文件本身。常用例子：

• find /var/log -name "*.log"：按名字找日志。
• find /home -type d -name "cache"：按类型找目录。
• find /data -mtime -7：找 7 天内修改过的文件，排查“最近谁动过什么”很方便。
• find / -size +500M：找超过 500MB 的大文件，磁盘告警时的第一反应就应该是它。

find还能和别的命令配合，最简单的形式是find ... -exec rm {} \;，但日常我更推荐先find ... -name "*.tmp"查出来，人眼确认后再批量处理，少用这种带删除的组合，安全第一。

locate比find快得多，因为它查的是系统预建的数据库，但它对新文件的感知有延迟，需要用updatedb更新。大多数场景下，即时查找我还是优先选find，locate适合找那种“确定存在但想不起来路径”的旧文件。

2.3 文件压缩与打包：tar 的“三板斧”

打包压缩是高频需求，把文件夹传给别人、备份数据、发布代码，都会用到。tar在现代 Linux 系统上一个命令就能搞定打包和压缩，参数可以记成三套固定搭配：

• 打包压缩：tar -czvf archive.tar.gz /path/to/dir
• 解包解压：tar -xzvf archive.tar.gz
• 查看内容：tar -tzvf archive.tar.gz

拆解一下：-c创建归档，-x解包，-t列出内容，-z用 gzip 压缩，-v显示过程，-f指定归档文件名。-z换成-j就是用 bzip2 压缩，得到.tar.bz2；换成-J则是 xz 压缩，对应.tar.xz。压缩率上，xz 最高但最慢，gzip 均衡，bzip2 居中。日常传输和备份，我默认选tar -czvf，兼容性最好，几乎任何 Linux 环境都能解。

解压时建议先tar -tzvf archive.tar.gz看一眼里面的目录结构，确认会不会直接铺一地文件。很多压缩包解出来是散落的文件而不是带顶层目录，直接解压容易污染当前目录。要解到指定目录就加-C，比如tar -xzvf archive.tar.gz -C /tmp/deploy/，这个参数我几乎每次必加。

还有个容易踩的坑：tar打包默认跟随符号链接，也就是说你打包一个软链接，可能把链接指向的真实文件也打进去了。需要保留链接本身时加-h反而会解引用，不想解引用就保持默认并留意源目录结构。多练几次，把手感固定住，压缩解压就不需要再翻文档了。

3. 进阶状态排查：看明白系统到底在干什么

3.1 进程管理：ps、top、htop、kill 的正确用法

进程管理是排查问题的第一步。ps是静态快照，top是动态刷新。第一次用ps时，我用的是ps aux，后来发现ps -ef也是主流写法，两者展示的字段略有差异，但都够用。ps aux --sort=-%mem按内存降序排，ps aux --sort=-%cpu按 CPU 降序排，想快速知道“哪个进程吃资源最狠”，这两条命令最直接。

top进入交互界面后，按P按 CPU 排序，按M按内存排序，按k可以输入 PID 杀进程，按q退出。top -d 2表示每 2 秒刷新一次，默认 3 秒。不过我的个人偏好是更现代的htop，它带颜色、可以树状展示进程关系、支持 F6 按字段排序，还能直接用 F9 杀掉选中的进程。如果系统没装htop，先apt install htop或yum install htop，装上绝对不亏。但必须明白：top是保底技能，万一服务器上没权限装新工具，top也能完成任务。

kill不是“强制结束”的意思，它是“给进程发信号”。kill -15 PID发送 SIGTERM，请求进程正常退出，让进程有机会清理临时文件、保存状态。kill -9 PID发送 SIGKILL，内核直接终止进程，进程没有机会做任何清理。日常应该先-15，等几秒没反应再-9。直接-9可能会导致配置文件没写全、临时文件残留，甚至把数据库搞出不一致状态。另外pkill可以按进程名发信号，比如pkill -f "python app.py"，pkill的-f会匹配完整命令行，用起来要小心，它可能误杀命令行里恰好包含相同字符串的其他进程。

3.2 磁盘与内存：df、du、free 的三个“容量真相”

磁盘告警时，先分清“目录占了多少”和“文件系统还剩多少”。df -h查看文件系统整体使用率，-h自动转换单位，字段里Use%就是使用率。比如/dev/vda1 40G 38G 2.0G 95% /，说明根分区用了 95%。df -i查看 inode 使用率，一个容易被忽略的隐藏坑：磁盘明明还剩很多空间，但 inode 耗尽后照样无法创建文件，表现为“No space left on device”却df -h显示空闲。排查时两个命令一起看，避免误判。

du用于统计目录实际占用的磁盘空间。du -sh /var/log只给该目录总大小，-s汇总、-h人类可读；du -h --max-depth=1 /var列出第一层子目录各自占多少，快速定位“哪个子目录在膨胀”。我排查磁盘满的标准流程是：先用df -h确认哪个分区告警，再用du -h --max-depth=1逐层深入，通常两三轮就能定位到大文件或失控日志。

内存方面，free -h是最常用的命令。很多人看到free显示剩余内存很少就惊觉内存不足，其实这是个误解。Linux 的内存管理哲学是“空闲内存不如拿来缓存”，free -h里buff/cache占用的部分会在应用需要时自动释放。真正需要关注的是available列，它表示在不触发交换的情况下还能分配给新进程的内存大约是多少。只要available还够，就不必被第一行的“free”数值吓到。

3.3 网络状态：netstat、ss、ping、curl 的排障路径

网络排查我从ping开始，它测的是“主机之间的网络通不通”。ping -c 4 目标IP限制只发 4 个包，不然它会一直发下去。能 ping 通但服务访问不了，问题多半不在链路，而在端口或服务本身，这是下一步转向ss -tlnp的原因。

ss是netstat的现代替代品，输出更快信息更全。ss -tlnp查看所有 TCP 监听端口及对应进程，-tTCP、-l监听状态、-n不解析域名（速度快得多）、-p显示进程信息。排查“端口被谁占了”的流程：ss -tlnp | grep 8080，直接看到 PID 和进程名。老系统没装ss时用netstat -tlnp代替，效果一样，只是输出速度略慢。

curl是 HTTP 接口调试利器。curl -I http://example.com/api只看响应头，能快速确认服务是否存活、返回什么状态码；curl -v http://example.com/api输出详细交互过程，包括 DNS 解析、TCP 连接、TLS 握手、请求头和响应头；curl -X POST -H "Content-Type: application/json" -d '{"key":"value"}' http://example.com/api用来发 POST 请求。排查后端接口时，curl -s -o /dev/null -w "%{http_code}\n" URL可以只输出 HTTP 状态码，写监控脚本时特别好用。

ss -tlnp和curl配合起来，能覆盖“链路通不通、端口有没有监听、接口有没有响应”三个层面的问题。大多数网络故障都能在这三步里找到答案。

4. 权限与文本处理：这两个技能最被低估

4.1 权限体系：读一读 rwx 的“暗语”

Linux 权限模型看起来吓人，理解后就一句话：每个文件有属主、属组、其他人三类对象的读、写、执行三种权限。ls -l第一列像-rw-r--r--，第一位是文件类型（-普通文件、d目录、l软链接），后面九位三位一组：属主、属组、其他人，每组里r读、w写、x执行，-表示没有该权限。

权限的数字表示法是它的实用价值所在。r=4、w=2、x=1，把一个对象的三项权限相加得到一个数字，比如rwx是 7，r-x是 5，r--是 4。三个对象分别算完后拼接成三位数，chmod 755 file就是属主 7（rwx）、属组 5（r-x）、其他人 5（r-x）。常见的组合就这么几种，记住 755 和 644 基本覆盖八成场景：目录通常 755，普通文件通常 644，脚本要执行加x变成 755。

修改权限前要先看当前属主和属组，chown user:group file修改属主和属组，chgrp group file只改属组。初学者最容易犯的错是在权限不对时盲目chmod -R 777，把整个目录开放给所有人。这样做虽然一次解决了问题，但留下了安全隐患。正确做法是：先ls -l确认到底缺哪个权限，是当前用户不在属组里，还是确实需要加写权限。目录的x权限代表“能否进入该目录”，只有r没有x时能看到文件名列表但进不去，这是个很隐蔽的坑。另外注意chmod -R会递归修改目录下所有文件，使用时要想清楚范围。

4.2 文本处理三件套：grep、sed、awk 的黄金组合

日志分析、数据清洗、配置批量修改，这三个命令是文本处理的核心组合。定位是grep的强项，替换是sed的强项，按列解析是awk的强项。

sed的基本替换语法是sed 's/旧内容/新内容/g' 文件，g表示一行内全部替换，不加g只替换每行第一个。要直接写回原文件，用sed -i，但建议先用不带-i的版本跑一遍看输出确认无误，再加-i生效。备份习惯更好一点：sed -i.bak 's/old/new/g' config.conf，这样会先生成config.conf.bak再修改原文件，出问题能回滚。sed -n '10,20p' file打印第 10 到 20 行，sed -n '/error/p' file打印包含 error 的行，它和grep功能重叠，但偶尔在管道链里更好用，可以作为替补手段。

awk的核心逻辑是“按行读入，按列切分，按条件处理”。默认按空白字符切分成列，$1是第 1 列，$2是第 2 列，$NF是最后一列，NF是总列数。入门必会的几个场景：

• awk '{print $1, $NF}' file：打印第一列和最后一列。
• awk -F, '{print $2}' data.csv：指定逗号作为分隔符，取 CSV 第二列。
• awk '$NF > 1024 {print $0}' file：最后一列大于 1024 才打印整行。
• awk '{sum += $1} END {print sum}' file：对第一列求和，放在 END 块里输出。

grep先缩小范围，awk再提取字段，sed最后做替换清洗，这条流水线能覆盖绝大多数日志分析任务。比如统计某个接口的请求量和平均耗时：grep "/api/user" access.log | awk '{print $NF}' | awk '{sum+=$1; count++} END {print "avg:", sum/count, "count:", count}'。看起来复杂，拆开看每段都是前面提到的简单命令，组合起来就变成一个小型分析工具。

4.3 管道与重定向：把命令串成数据流水线

管道符|是 Linux 命令行的灵魂：前一个命令的标准输出，会成为后一个命令的标准输入。cat app.log | grep error | wc -l就是“读日志、筛错误、统计数量”三步一条线。wc -l统计行数，sort | uniq -c做排序去重并计数，head和tail截取流的前后部分，这些命令单独看都很简单，一旦进管道就变得灵活。

重定向的三个符号要注意区分：>覆盖写，>>追加写，2>把标准错误重定向到文件。command > out.log 2>&1表示把标准输出和标准错误都写进同一个文件，2>&1的顺序很重要，必须先重定向标准输出再合并标准错误，顺序反了在某些 shell 里会出问题。想忽略所有输出，可以用command > /dev/null 2>&1，/dev/null是 Linux 的“黑洞设备”，所有写进去的内容都会被丢弃，常用于脚本里不想让噪音干扰屏幕的场景。

我建议新手把管道重定向当作“小脚本”来练：给自己出题，比如“找出当前目录下最大的 5 个文件”“统计日志里每种错误类型出现次数”“把某文件的制表符全部替换成逗号”。每道题都能用管道组合完成，练完基本就对命令的组合逻辑有感觉了。

5. 效率提升：别名、历史、快捷键与日常习惯

5.1 别名 alias：把长命令变成短指令

有些命令长得离谱，每天敲十几遍实在浪费时间，这时候就该alias上场。alias ll='ls -lah'定义后输入ll就执行ls -lah。想查看当前所有别名，输入alias就行。但注意：直接敲alias定义只对当前终端会话有效，关掉终端就没了。要永久生效，把它写进 shell 的配置文件里，Bash 是~/.bashrc，Zsh 是~/.zshrc。修改后执行source ~/.bashrc或重新打开终端，别名才会加载。

我自己常备的几个别名供参考：

• alias ll='ls -lah'：列表加隐藏文件，最常用。
• alias la='ls -A'：列出隐藏文件但不显示.和..。
• alias ..='cd ..'：输入两个点直接回上级目录。
• alias q='exit'：快速退出终端。
• alias grep='grep --color=auto'：让匹配结果高亮，排查日志时一目了然。

别名命名时别覆盖系统原有命令，比如把ls别名为ls -lah虽然方便，但也可能让你在写脚本时产生误解。更稳妥的做法是另起一个名字，比如ll、la，把原生命令留给脚本和特殊情况。团队协作时，把常用别名整理到一个~/.bash_aliases文件里，再在.bashrc中 source 它，换新机器时直接复制文件即可，配置同步特别省事。

5.2 shell历史与快捷键：比你想的更省时间

history查看历史命令，默认显示最近若干条。history | grep "关键词"可以快速找回之前敲过的长命令。!前缀是历史展开的快捷方式：!!重复上一条命令，!100执行历史中序号为 100 的命令，!ps执行最近一条以 ps 开头的命令。这些符号看着冷门，实际用起来效率提升非常明显，特别是重复执行一条带一堆参数的命令时。

日常交互中，几个快捷键比方向键更高效。Ctrl + R进入反向搜索历史模式，输入几个字母就能模糊匹配历史命令，比一页页翻历史快太多。Ctrl + A光标跳到行首，Ctrl + E跳到行尾，Ctrl + U删除光标到行首的内容，Ctrl + K删除光标到行尾的内容。这些快捷键在编辑超长命令时几乎离不开，我第一次意识到它们的价值是在调试一条 200 多字符的curl命令时，光标移动全靠方向键，效率低得让人崩溃，改用快捷键后流畅了十倍。

Tab键的自动补全也要用透：不仅补全文件名和命令名，还能补全路径、用户名、环境变量。按两次Tab会列出所有匹配项，再配合Ctrl + R和history，几乎不需要完整敲任何一条长命令。

5.3 小习惯：让终端环境更顺手

环境变量是终端行为的“配置中心”。echo $PATH查看可执行程序的搜索路径，路径之间用冒号分隔。想让自己写的脚本全局可用，一个做法是把脚本目录加入 PATH：在.bashrc里写export PATH="$HOME/bin:$PATH"，然后source ~/.bashrc。不过要注意 PATH 的优先级，前面的路径先被搜索，如果把一个不安全目录放在最前面，可能存在同名命令劫持风险，所以把$PATH放在后面是更安全的写法。

.bashrc和.bash_profile的加载时机不一样，很多人改配置后发现不生效，就是因为改错了文件或没触发加载。登录式 shell 会读.bash_profile，非登录交互式 shell 读.bashrc。为了省心，我的方案是在.bash_profile里写一行[ -f ~/.bashrc ] && source ~/.bashrc，这样所有的配置都集中在.bashrc，不管什么场景登录都会加载。

还有个小技巧是设置HISTCONTROL=ignoredups，忽略连续重复的历史记录，让history更清爽；设置HISTSIZE=10000增大历史记录条数，免得想找回一条很久以前的命令时翻不到了。这些配置一两行搞定，但对日常体验的提升是长久的。

6. 常见问题与排查技巧速查

6.1 命令找不到与权限报错的第一反应

“command not found”是新手最常遇见的报错。先别急着怀疑系统坏了，按这个顺序排查：第一，确认命令名是否拼写正确，sl和ls就差一个字母，结果完全不同；第二，确认命令是否安装，像htop、dig、telnet、vim这类工具很多最小化安装的系统根本没有，需要自行安装；第三，确认路径是否在 PATH 中，有时软件装好了，但安装目录没加入 PATH，比如/usr/local/mysql/bin/mysql需要全路径或手动加 PATH 才能调用。

“Permission denied”则要从两个维度看：一是执行权限，文件没有x位时无法直接运行，解决办法是chmod +x script.sh，而不一定是sudo；二是文件系统层面，/etc/shadow这类敏感文件即使 root 以外的高权限用户也读不了。还有一种很容易忽略的情况：当前用户对文件有读写权限，但对其所在目录没有x权限，一样操作不了。排查权限问题时，ls -l看文件权限，id看当前用户和所属组，sudo -l看当前用户被授权的 sudo 能力，这三条基本能定位九成问题。

6.2 端口冲突与内存误判的两个经典场景

场景一：启动服务报 “Address already in use”。这是端口被占用的典型信号。排查思路是ss -tlnp | grep 端口号，找到占用进程的 PID 和名称，确认是残留旧进程后再处理。要注意，如果那个进程不是你自己启动的，别急着kill -9，先ps -ef | grep PID看它到底是什么，再决定是否终止。有时候你只是配置里的端口写错了，和另一个服务撞在一起，这时候改配置比杀进程更合理。

场景二：用free -h看到 cached 占了很多，担心内存不够。前面说过，这是 Linux 的正常缓存机制。判断内存是否真正紧张的标准是看available列，而不是free列。另一个佐证是观察系统是否大量使用 swap，free -h里 Swap 行的used持续攀升，才说明物理内存确实不够了。必要时用top按内存排序，找出具体吃内存的进程，再决定是扩容、优化还是重启服务。

6.3 小文件多到磁盘 inode 耗尽怎么办

磁盘明明没满，但创建文件报 “No space left on device”，十有八九是 inode 耗尽。每条命令用df -i确认，如果IUse%接近 100%，方向就清楚了。然后找出小文件最密集的目录，通常会是缓存目录、临时目录或者邮件队列目录。定位后清理有两种思路：删掉确定无用的旧缓存，或者把该目录迁移到 inode 配额更充足的文件系统。如果不知道哪些能删，按时间维度找，比如find /var/cache -type f -mtime +30列出 30 天前的小文件，确认后批量清理。养成定期巡检 inode 的习惯，比告警时手忙脚乱好太多。

6.4 排查思路小结：从现象到命令的对照表

这张表是我平时排障的真实路径，不一定适用于每一个复杂故障，但作为第一反应完全够用，能帮你快速缩小问题范围，再深入处理时就有明确线索了。

最后想说的话

这份速查整理自我多年在 Linux 环境下的实际踩坑和工具使用习惯。我个人始终觉得，命令行能力的成长不是靠背参数，而是靠“带着问题找命令”：遇到磁盘空间告警就去理解df和du的差异，遇到日志分析需求就去练grep和awk，遇到服务起不来就去琢磨ss和kill的信号机制。每一次排障都是一次定向学习，攒下来的经验比任何文档都牢固。如果这篇文章能让你在终端里少一点慌张、多一分从容，那它就没有白写。