linux 文件监控工具,Linux下文件系统监控神器Inotify

两个月没写了。。拿个最近写的出来看下。

在使用linux过程中，我们会遇到监控某个目录或者文件的变化的需求，如关键配置文件，保密日志等。通常我们会使用定时或者后台脚本来解决，使用find或ls -al等。但这样并不实时而且也不高效。

我们已经知道在linux系统下，硬件层面我们已经有hotplug和udev来动态检测硬件。内核检测到新硬件插入，然后分别通知hotplug和udev。前者用来装入相应的内核模块(如usb-storage)，而后者用来在/dev中创建相应的设备节点(如/dev/sda1)。

文件系统层面，在内核2.6.13之后，便有inotify来对文件系统进行动态监控了。它能监控文件的创建，访问，删除，修改，属性等操作。

如何判断自己系统是否支持，可以通过以下命令：

#grep INOTIFY_USER /boot/config-$(uname -r)

CONFIG_INOTIFY_USER=y# cat /proc/sys/fs/inotify/*

16384

128

8192

inotify的原理：

无论是目录还是文件，在内核中都对应一个 inode 结构，inotify 系统在 inode 结构中增加了两个字段：#ifdef CONFIG_INOTIFY

struct list_head    inotify_watches; /* watches on this inode */

struct semaphore    inotify_sem;    /* protects the watches list */

#endif

通常可以通过写c来调用inotify相关函数，当然也可以直接安装好别人写好了的inotify-tool工具来直接调用inotifywatch和inotifywait命令来实现自己的功能，下面是一个简单的监控示例：#!/bin/bash

#date=20160307

#version=0.4

#inotifywait de jiandan shiyong

Usage() {

echo "   Usage:./inotify.sh  stop

./inotify.sh  file1 file2  ... "

}

if [ $# == 0 ];then

Usage

exit 1

fi

monitor() {

/usr/local/bin/inotifywait -mrq --timefmt '%d/%m/%y %H:%M' --format  '%T %w%f %e' --event modify,delete,create,attrib  $1 | while read  date time file event

do

case $event in

MODIFY|CREATE|MOVE|MODIFY,ISDIR|CREATE,ISDIR|MODIFY,ISDIR)

echo "`date`   $event'-'$file" >>/tmp/inotify_monitor.log

;;

MOVED_FROM|MOVED_FROM,ISDIR|DELETE|DELETE,ISDIR)

echo "`date`   $event'-'$file" >>/tmp/inotify_monitor.log

;;

esac

done

}

for i in ${@}

do

if [ $i == stop ];then

echo "The monitor has been stop !"

ps -ef |grep [i]notify |grep -v grep|awk '{print $2}'|xargs kill 2>/dev/null

else

monitor $i &

echo "starting monitor $i !"

fi

done

参考：http://www.ibm.com/developerworks/cn/linux/l-inotifynew/