文件读写监控(inotify, systemtap)

一、inotify

     inotify是内核的一个特性，可以用来监控目录、文件的读写等事件，当监控目标是目录时，inotify除了会监控目录本身，还会监控目录中的文件。inotify的监控功能由如下的几个系统调用完成：inotify_init(2) (or inotify_init1(2)), inotify_add_watch(2), inotify_rm_watch(2), read(2), and close(2).

     inotify的主要操作基于inotify_init 返回的inotify文件描述符，该描述符的作用类似于epoll用到的epoll_fd。inotify在监控目录的时候，不支持对目录的递归监控，即只能监控一层目录，如果需要递归监控的，就需要将这些目录通过inotify_add_watch添加进来。

     inotify目前只能检测到目标文件（夹）发生了什么操作，无法检查出是哪个进程触发的这项操作。（注：fanotify函数接口支持获取触发操作的进程pid，但是fanotify支持的检测类型比inotify少太多，使用者也比较少）

     

      需求：监控/home/sxhlinux/test/test.txt的状态

     

　　C语言实现：

1 2 3 4 5 6 7 8 9 10 11 12 13 14 15 16 17 18 19 20 21 22 23 24 25 26 27 28 29 30 31 32 33 34 35 36 37 38 39 40 41 42 43 44 45 46 47 48 49 50 51 52 53 54 55 56 57 58 59 60 61 62 63

#include <stdio.h> #include <stdlib.h> #include <sys/inotify.h> #include <errno.h> #include <string.h> #include <sys/epoll.h>    int  main( void ) {      char  *filename =  "./log.txt" ;         int  inoti_fd = inotify_init1(IN_CLOEXEC);