1. 为什么“命令大全”背了还是会忘：先搞懂Linux命令的底层逻辑
很多人第一次接触Linux，看到“常用命令大全”这种标题，第一反应就是收藏、截图、存进笔记，然后真正上了服务器，面对一个黑乎乎的终端，脑子里只剩一个ls。我见过太多运维新人，背了几百条命令，结果连“为什么cd是shell内置命令而ls是外部程序”都说不清楚。问题不在于记性，而在于没有把命令放进一个可推理的框架里。
Linux命令的本质，是用户通过shell向内核请求服务的一种约定。你敲下ls -l /var/log，shell先解析这行字符串，发现ls不是内置命令，就去PATH环境变量定义的目录里找可执行文件，找到后fork一个子进程，exec加载它，内核再根据参数去读目录、查inode、返回结果。整条链路里，任何一个环节出问题，命令都会“失灵”。所以真正要掌握的，不是命令的拼写，而是命令的定位、参数的组织、输入输出的流向、权限与进程的约束这四件事。
这篇文章面向的是刚入门的运维、后端开发、测试，以及需要在服务器上做日常操作但不想每次都查搜索引擎的人。我会把Linux常用命令按“使用场景”重新编排，而不是按字母表罗列。每个命令都会讲清楚它解决什么问题、关键参数怎么选、踩过哪些坑。你不需要一次背完，但看完之后，遇到问题应该能自己推导出该用哪一类命令。
提示：本文所有示例基于主流Linux发行版的bash环境，不同发行版在个别参数上可能有差异，遇到报错先用
man查本地手册。
2. 文件与目录操作：从“找得到”到“改得对”
2.1 导航与查看：ls、cd、pwd、tree的实战组合
ls是使用频率最高的命令，但很多人只会ls -l。实际运维中，我常用的组合是ls -lht——-l长格式、-h人类可读大小、-t按修改时间倒序。这样一眼就能看出哪个日志文件刚被写过、哪个目录最近被改动。排查磁盘满的时候，这个组合比du还快。
cd的坑在于符号链接和..的层级。cd -可以回到上一个目录，这个技巧在两边来回切换时非常省事。pwd -P会显示物理路径，当你怀疑自己在一个软链接目录里时，用它能看清真实位置。
tree不是所有发行版都预装，但排查目录结构时极其好用。tree -L 2 -d只显示两层目录，-d只看目录不看文件，适合快速了解一个陌生项目的布局。如果提示找不到命令，Debian系用apt install tree，RHEL系用yum install tree。
2.2 创建、复制、移动与删除：mkdir、cp、mv、rm的边界
mkdir -p /data/app/logs里的-p是关键，它允许你一次性创建多级目录，且目录已存在时不报错。写自动化脚本时，这个参数能省掉大量if [ ! -d ]判断。
cp最容易被忽视的是-a参数，它等价于-dR --preserve=all，会保留符号链接、权限、时间戳、属主等全部属性。备份配置文件时，我坚持用cp -a，否则恢复后权限变了，服务可能起不来。cp -i会在覆盖前询问，适合手动操作；脚本里则用-f强制覆盖，避免交互卡住。
mv在同分区内是重命名，跨分区是复制加删除。如果你mv一个正在被写入的大文件，目标分区空间不够时会失败，但源文件可能已经被部分删除。所以跨分区移动大文件前，先用df -h确认目标空间。
rm -rf是每个运维都绕不开的命令，也是最容易出事的命令。我的习惯是：永远先ls确认路径，再用rm -r，最后才加-f。rm -rf /这种事故，往往是因为变量为空导致rm -rf $DIR/变成了rm -rf /。脚本里一定要写成rm -rf "${DIR:?}"，${DIR:?}会在变量为空时直接报错退出。
2.3 查找与定位：find、locate、which、type的分工
find是文件查找的瑞士军刀。按时间找：find /var/log -mtime +7 -name "*.log"找出7天前修改的日志。按大小找：find / -size +100M -type f找出大于100M的文件。按权限找：find / -perm -4000 -type f找出所有SUID文件，这是安全排查的常规动作。
find配合-exec可以批量处理，但-exec rm {} \;会对每个文件启动一次rm进程，文件多时极慢。更好的写法是find ... -print0 | xargs -0 rm -f，-print0和-0用空字符分隔，能正确处理带空格的文件名。
locate依赖updatedb生成的数据库，查找速度极快，但新创建的文件可能查不到。which只在PATH里找可执行文件，type则能告诉你一个命令是内置、别名还是外部程序。当你发现cd和ls行为不一致时，type cd会显示“cd is a shell builtin”，这就是答案。
2.4 查看与编辑：cat、less、head、tail、vim的取舍
cat适合小文件，大文件用cat会把终端刷爆。less是分页查看的标准工具，/关键词搜索、G跳末尾、g跳开头、q退出。less +F可以像tail -f一样实时跟踪，但按Ctrl+C后还能继续翻看历史，比tail -f更灵活。
head -n 20和tail -n 20看首尾，tail -f跟踪日志。但tail -f在日志轮转后会失效，因为文件描述符还指向旧文件。这时用tail -F，它会根据文件名重新打开，日志切割后依然能跟踪。
vim的学习曲线陡峭，但运维场景下必须会几个救命操作：i进入插入、Esc退出插入、:wq保存退出、:q!不保存强制退出、/word搜索、dd删除整行、yy复制整行、p粘贴。如果服务器上没装vim，vi通常也有，操作基本兼容。实在不习惯，nano是更友好的替代品，但很多生产环境不预装。
3. 系统状态与进程管理：看清机器在干什么
3.1 系统资源总览：top、htop、free、vmstat
top是经典工具，但默认界面信息密度高、刷新快。我通常按1展开每个CPU核心，按M按内存排序，按P按CPU排序，按c显示完整命令行。top -b -n 1可以批处理输出一次，适合写进监控脚本。
htop更直观，支持鼠标和颜色，但需要额外安装。free -h看内存，重点看available列而不是free列，因为Linux会把空闲内存用于缓存，available才是真正可用的估算值。vmstat 1每秒输出一次，r列是运行队列长度，持续大于CPU核数说明CPU不够；si和so是换入换出，非零说明内存压力大。
3.2 进程查找与终止：ps、pgrep、kill、pkill
ps aux和ps -ef是两种常见风格，前者BSD风格，后者System V风格。ps aux | grep nginx会连grep进程一起显示，更干净的做法是pgrep -a nginx，-a显示完整命令行。
kill默认发SIGTERM（15），进程可以捕获并优雅退出。kill -9发SIGKILL，进程无法捕获，强制终止。先15后9是基本原则，直接-9可能导致数据丢失或锁文件残留。pkill -f "python.*worker"按完整命令行匹配，批量杀进程时比kill加一堆PID方便，但匹配范围要写准，否则可能误杀。
3.3 磁盘与IO：df、du、iostat、iotop
df -h看分区使用率，df -i看inode使用率。有时候磁盘空间没满但写不进去，就是inode耗尽了，大量小文件是元凶。du -sh /var/*看各目录总大小，du -h --max-depth=1 /var只看一层。du和df结果不一致，通常是因为有进程持有已删除文件的句柄，用lsof | grep deleted能找到。
iostat -x 1看磁盘IO，%util接近100%说明磁盘饱和。iotop需要root权限，能直接看到哪个进程在疯狂读写。这两个工具在排查“系统变慢”时比top更直接，因为CPU不高但IO等待高的情况很常见。
3.4 网络连接与端口：ss、netstat、lsof、telnet
netstat逐渐被ss取代，ss -tulnp显示所有监听端口及对应进程，-tTCP、-uUDP、-l监听、-n数字显示、-p进程。ss -s看连接统计，ss -tn state established看已建立连接。
lsof -i :8080查哪个进程占用了8080端口，比netstat更直接。telnet ip 端口是测试端口连通性的经典方法，能连上会显示Connected，连不上会卡住或拒绝。但很多新系统不预装telnet，可以用nc -zv ip 端口替代，-z只扫描不发送数据，-v显示详情。
注意：
telnet传输是明文的，只用于内网连通性测试，不要用它登录任何需要密码的服务。
4. 用户、权限与软件包：把边界划清楚
4.1 用户与组管理：useradd、usermod、passwd、su、sudo
useradd -m -s /bin/bash deploy创建用户并生成家目录、指定shell。-m很重要，不加的话家目录不会创建，用户登录后可能没有可写目录。usermod -aG docker deploy把用户加入docker组，-a表示追加，不加-a会覆盖原有附加组。
passwd deploy改密码，passwd -l deploy锁定账户，passwd -u解锁。su - deploy切换用户并加载其环境变量，su deploy不加载环境，可能导致PATH不对。sudo的配置在/etc/sudoers，用visudo编辑，它会做语法检查，避免配置错误导致所有sudo失效。
4.2 文件权限：chmod、chown、umask、特殊权限
chmod 755是目录常用权限，644是文件常用权限。chmod -R递归修改，但递归改权限很危险，尤其是把目录改成644后，目录没有执行权限就无法进入。目录的执行权限x表示“可以进入”，读权限r表示“可以列出内容”，写权限w表示“可以创建删除文件”。
chown user:group file改属主属组，chown -R递归。umask决定新建文件的默认权限，umask 022意味着新文件是644、新目录是755。特殊权限里，SUID（4）让程序以属主身份运行，SGID（2）让目录下新建文件继承目录属组，Sticky Bit（1）让目录下文件只有属主能删。/tmp通常就是1777，即Sticky Bit加全权限。
4.3 软件包管理：apt、yum、dnf、rpm、dpkg
Debian/Ubuntu系用apt，apt update更新索引，apt install安装，apt remove卸载，apt purge连配置一起删。RHEL/CentOS系用yum或dnf，dnf是新版默认。rpm -qa | grep nginx查已安装包，rpm -ql nginx列出包内文件，rpm -qf /usr/sbin/nginx反查文件属于哪个包。
dpkg -l列出已安装包，dpkg -L列文件，dpkg -S反查。离线安装时，dpkg -i装deb包，rpm -ivh装rpm包，但依赖问题需要手动解决，apt install ./package.deb或dnf install ./package.rpm能自动处理依赖。
4.4 服务管理：systemctl与service
systemctl start/stop/restart/status nginx是标准操作。systemctl enable nginx设置开机自启，disable取消。systemctl list-units --type=service列出所有服务，systemctl daemon-reload在修改unit文件后重新加载。
journalctl -u nginx -f跟踪服务日志，-n 100看最近100行，--since "10 min ago"看最近10分钟。旧系统用service nginx start和chkconfig，新系统尽量统一用systemctl。
5. 文本处理与管道：Linux的“组合拳”
5.1 管道与重定向：|、>、>>、2>、&>
管道|把前一个命令的标准输出接到后一个命令的标准输入。ps aux | grep nginx | grep -v grep是经典组合，grep -v排除grep自身。重定向>覆盖，>>追加，2>重定向标准错误，&>同时重定向标准输出和错误。
command > file 2>&1把输出和错误都写入文件，顺序很重要，2>&1必须在>之后。command &> file是bash的简写。丢弃输出用/dev/null，command > /dev/null 2>&1让命令完全静默。
5.2 文本过滤：grep、awk、sed
grep -rn "error" /var/log/递归搜索并显示行号。grep -i忽略大小写，-v反向匹配，-E支持扩展正则。grep -A 3 -B 3显示匹配行的前后3行，排查日志时非常有用。
awk '{print $1, $4}'按空白分割取第1和第4列。awk -F: '{print $1}' /etc/passwd指定冒号分隔。awk '$3 > 100 {print $0}'按条件过滤。sed 's/old/new/g'全局替换，sed -i直接修改文件，sed -n '10,20p'打印10到20行。
awk和sed的组合能完成大部分日志分析。比如统计Nginx访问日志里访问量前10的IP：awk '{print $1}' access.log | sort | uniq -c | sort -rn | head -10。这条命令拆开看就是：取第一列、排序、去重计数、按数字倒序、取前10。
5.3 排序、去重与统计：sort、uniq、wc、cut
sort -n按数字排序，-r倒序，-k2按第二列排序，-t:指定分隔符。uniq -c去重并计数，但uniq只能处理相邻重复行，所以必须先sort。wc -l统计行数，-c统计字节，-w统计单词。
cut -d: -f1,3按冒号分割取第1和第3列。cut适合简单分割，复杂场景用awk。tr 'a-z' 'A-Z'做字符替换，tr -d '\n'删除换行符。
5.4 归档与压缩：tar、gzip、zip、unzip
tar -czvf backup.tar.gz /data打包并gzip压缩，-c创建、-zgzip、-v显示过程、-f指定文件名。解包用tar -xzvf backup.tar.gz -C /target，-C指定解压目录。tar -tzvf只列出内容不解压。
zip -r archive.zip dir和unzip archive.zip -d /target是跨平台常用的格式。gzip file压缩后原文件变成.gz，gunzip解压。xz压缩率更高但更慢，tar -cJvf用xz压缩。
提示：
tar的-f后面必须紧跟文件名，不能写成tar -czvf -f backup.tar.gz，参数顺序错了会报错。
6. 常见问题与排查技巧实录
6.1 命令找不到：PATH与安装问题
“command not found”是最常见的报错。先echo $PATH看路径是否包含命令所在目录。如果是自己编译安装的软件，可能需要export PATH=$PATH:/usr/local/bin，并写入~/.bashrc。如果是没装，用包管理器装。如果是脚本里报错，检查脚本是否用了#!/bin/bash，以及是否在非交互式shell里PATH被重置。
6.2 权限拒绝：Permission denied的排查顺序
先ls -l看文件权限和属主，再id看当前用户和组。如果是执行脚本报错，检查是否有x权限。如果是写文件报错，检查目录的w和x权限。如果是sudo报错，检查用户是否在sudoers里。SELinux开启时，即使权限对也可能被拒绝，用getenforce查看，ausearch -m avc -ts recent看拒绝日志。
6.3 磁盘满：df与du不一致怎么办
df -h显示满但du -sh统计不出大文件，通常是有进程持有已删除文件的句柄。lsof | grep deleted找到进程，重启该进程或kill掉，空间就会释放。另一种可能是挂载点被覆盖，mount | grep确认实际挂载情况。
6.4 端口被占用：快速定位与处理
ss -tulnp | grep :8080找到PID，ps -fp PID看是什么进程。如果是自己启动的服务，kill后重启。如果是未知进程，先确认是否必要，再决定处理方式。fuser -k 8080/tcp可以直接杀掉占用端口的进程，但太粗暴，不建议在生产环境直接用。
6.5 中文乱码：locale与终端编码
locale查看当前编码，LANG=zh_CN.UTF-8设置中文UTF-8。如果文件本身是GBK编码，用iconv -f GBK -t UTF-8 file转换。终端乱码还可能是SSH客户端编码设置不对，检查客户端是否设为UTF-8。
| 问题现象 | 可能原因 | 排查命令 | 解决方向 |
|---|---|---|---|
| command not found | PATH缺失或未安装 | echo $PATH、which cmd | 加PATH或安装包 |
| Permission denied | 权限/属主/SELinux | ls -l、id、getenforce | 改权限或调SELinux |
| 磁盘满但du不大 | 已删除文件被持有 | lsof | grep deleted | 重启持有进程 |
| 端口被占用 | 进程未退出 | ss -tulnp、fuser | 杀进程或换端口 |
| 中文乱码 | 编码不一致 | locale、file -i | 统一UTF-8 |
6.6 实操心得：几个让我少加班的习惯
第一，别名能省很多事。在~/.bashrc里加alias ll='ls -lht'、alias grep='grep --color=auto'，日常操作效率明显提升。第二，历史命令搜索。Ctrl+R反向搜索历史，输入关键词就能找到之前敲过的长命令，比翻笔记快。第三，!!和!$。!!重复上一条命令，!$引用上一条命令的最后一个参数。比如mkdir /data/backup后，cd !$直接进入该目录。第四，写脚本先set -e，让脚本在任意命令失败时立即退出，避免错误累积。第五，重要操作前先echo，把要执行的rm或mv命令先打印出来确认，再实际执行。
这些习惯看起来小，但在长期运维中能避免大量低级事故。命令大全可以查，但肌肉记忆和条件反射只能靠反复操作养成。我个人的建议是，挑20个最高频的命令，每个都亲手敲到不用看提示，剩下的遇到再查，慢慢就全记住了。
