find命令之atime/ctime/mtime的用法学习

本文主要参考了：https://blog.csdn.net/abcdef0966/article/details/7607545，感谢原作者abcdef0966。本文主要是根据原文的介绍，进行了相应的测试验证，希望帮助大家更好的理解，同时也作为自己的一个学习记录。

Find命令是我们使用非常频繁的linux命令，可以非常快速地帮我们搜索到符合筛选条件的文件，这里面有三个文件时间的相关参数：atime/ctime/mtime，可以帮我们按照相关的时间属性来搜索相应的文件。我们可以通过stat命令查看一个文件的这三个时间属性值，如下所示：

File: ‘kylin.log.2019-07-14’
  Size: 5782990183	Blocks: 11294912   IO Block: 4096   regular file
Device: 808h/2056d	Inode: 40635918    Links: 1
Access: (0644/-rw-r--r--)  Uid: ( 8194/    nrpt)   Gid: ( 1002/ netease)
Access: 2019-07-14 00:00:00.241071498 +0800
Modify: 2019-07-14 23:59:59.615788870 +0800
Change: 2019-07-15 00:00:00.623800909 +0800
 Birth: -

关于这三个时间参数的具体含义，可以通过man find来查看：

• atime，File was last accessed
• ctime，File's status was last changed
• mtime，File's data was last modified

关于在什么情况下，这三个值会发生变化，这里不展开介绍。本文主要介绍的是参数n的用法以及相关的含义。通过网上搜索的一些资料可知，n是以24h为单位，即1天。n=1表示1天，即24h。关于n前面的符号+/-以及相关的用法表示如下的含义：

find . -mtime +n：搜索文件最后一次修改时间，是发生在距离当前时间的(n+1)*24h以前，即[-∞,(n+1)*24]
find . -mtime n：搜索文件最后一次修改时间，是发生在距离当前时间的[(n+1)*24,n*24]区间内的
find . -mtime -n：搜索文件最后一次修改时间，是发生在n*24以内的，即[n*24,当前时间]

我们可以通过下图来形象地理解不同符号的n所表示的含义：

下面我们将根据实际的例子，来验证一下上面的解释是否正确。我们将当前时间定为：2019-07-15 16:00，n设置为2。搜索的文件是一批日志文件，每天23:59会生成以当天日志结尾命令的新文件：

-rw-r--r-- 1 nrpt netease 2.6G Jul  5 23:59 kylin.log.2019-07-05
-rw-r--r-- 1 nrpt netease 2.9G Jul  6 23:59 kylin.log.2019-07-06
-rw-r--r-- 1 nrpt netease 3.3G Jul  7 23:59 kylin.log.2019-07-07
-rw-r--r-- 1 nrpt netease 3.6G Jul  8 23:59 kylin.log.2019-07-08
-rw-r--r-- 1 nrpt netease 3.9G Jul  9 23:59 kylin.log.2019-07-09
-rw-r--r-- 1 nrpt netease 4.2G Jul 10 23:59 kylin.log.2019-07-10
-rw-r--r-- 1 nrpt netease 4.5G Jul 11 23:59 kylin.log.2019-07-11
-rw-r--r-- 1 nrpt netease 4.9G Jul 12 23:59 kylin.log.2019-07-12
-rw-r--r-- 1 nrpt netease 5.2G Jul 13 23:59 kylin.log.2019-07-13
-rw-r--r-- 1 nrpt netease 5.4G Jul 14 23:59 kylin.log.2019-07-14

此时，将具体的数据对应到上图中的各个参数，我们可以得到如下所示的图：

如果我们执行：find . -ctime +2，表示搜索文件状态最后修改时间为2019-07-12 16:00之前的所有文件，即如下所示的结果：

./kylin.log.2019-07-09
./kylin.log.2019-07-10
./kylin.log.2019-07-11
./kylin.log.2019-07-05
./kylin.log.2019-07-08
./kylin.log.2019-07-06
./kylin.log.2019-07-07

如果我们执行：find . -ctime 2，表示搜索文件状态最后修改时间在[2019-07-12 16:00,2019-07-13 16:00]区间内的所有文件，即如下所示的结果：

./kylin.log.2019-07-12

如果我们执行：find . -ctime -2，表示搜索文件状态最后修改时间在2019-07-13 16:00到当前时间点内的所有文件，也可以理解为最近2天内创建的文件，即如下所示的结果：

./kylin.log.2019-07-14
./kylin.log.2019-07-13

关于这三个区间的开闭问题，个人觉得应该是(-∞,(n+1)*24)，[(n+1)*24,n*24]，(n*24,当前时间)。本人这里没有验证过，大家如果感兴趣的话，可以自行验证。