排查磁盘空间时，df 和 du 结果不一致，应该先看哪类文件？

先查已删除但仍被进程占用的文件（lsof +L1），再查挂载点覆盖、隐藏目录、快照和容器层；df 统计文件系统，du 只统计可见目录。

进程无法退出时，kill、pkill 和 kill -9 的使用顺序是什么？

先用 kill 发 TERM 给明确 PID，等待优雅退出；再用 pkill 按名称批量处理；最后才用 kill -9，并检查僵尸进程、D 状态和父进程。

为什么在脚本里要同时检查命令输出和退出码？

输出可能为空但命令失败，退出码也可能为 0 而结果不符合预期；脚本要同时校验退出码、关键输出和业务断言。

系统学习 学习路径总入口：先选领域，再建立模型，最后用故障演练验证

Linux 命令地图：按“要做什么”找到命令，再进入对应页看参数与示例

使用方式

这页不是完整命令清单，而是一张按任务组织的地图。先选场景，再读 1–3 个入口页；每个命令页底部还有相关命令和排障入口。

不知道用什么：从场景分组进入，先看最常用的 3–5 个。
知道命令但忘了参数：直接搜索命令名，或从分组里点进去。
遇到故障：先看 troubleshoot-learning-path，再回到命令页确认参数和输出。

文件与目录

ls — 查看目录条目及其元数据，用长格式判断权限、归属、时间和链接关系。
cp — 复制文件或目录，并按需保留权限、时间与链接属性。
mv — 移动或重命名文件与目录，同一文件系统内通常是原子操作。
rm — 删除文件或目录项，默认不进入回收站，删除后主要依赖备份和快照恢复。
find — 按路径、类型、时间、大小和元数据递归筛选文件，并对结果执行动作。
stat — 显示文件或文件系统的详细状态信息。
tree — 以树形结构递归显示目录内容。
ln — 创建硬链接或符号链接，用另一个名字指向同一文件或目标路径。
pwd — 打印当前工作目录的绝对路径。
touch — 创建空文件，或更新文件的访问时间与修改时间。
mkdir — 创建一个或多个目录，可按需补齐父目录，并显式指定权限。
rmdir — 删除一个或多个空目录。
locate — 在预建的文件名数据库中快速查找路径。
fd — find 的现代替代，语法简洁，默认忽略 .gitignore。
7z — 7-Zip 命令行归档工具，支持 7z、ZIP、TAR、GZIP、XZ 等多种格式。
cpio — 把文件列表打包成 cpio 或 tar 格式归档，也能从归档中提取。
findfs — 根据 LABEL、UUID、PARTUUID 或 PARTLABEL 查找块设备路径。
losetup — 把普通文件或块设备绑定为回环块设备，供挂载和格式化使用。
mknod — 创建块设备、字符设备特殊文件或命名管道。
partprobe — 通知内核重新读取指定磁盘的分区表。
install — 复制文件并同时设置权限、所有者和时间戳，常用于部署和 Makefile。
volname — 读取 ISO-9660 文件系统（通常是光盘）的卷标名称。
mkisofs — 把目录树制作成 ISO 9660 光盘镜像。
blockdev — 通过 ioctl 查询或修改块设备的大小、只读标志、扇区大小和预读等属性。
e2label — 查看或设置 ext2、ext3、ext4 文件系统的卷标。
mke2fs — 创建 ext2、ext3 或 ext4 文件系统。
smartmontools — 提供 smartctl 与 smartd，用于读取磁盘 SMART 健康数据并做持续监控。

文本处理

grep — 按行匹配文本，用正则或固定字符串在文件、目录树和管道中定位内容。
sed — 以行为单位执行替换、删除、插入和范围编辑，适合模式明确的批量文本变换。
awk — 以记录和字段为单位处理文本，完成筛选、聚合、连接和格式化输出。
cut — 按字节、字符或分隔字段从每行提取内容。
sort — 按行排序文本，可按字段、数值、版本号或人类可读单位比较。
uniq — 合并相邻的重复行，常与 sort 配合做去重、计数和筛选。
diff — 逐行比较两个文件或目录，输出差异及补丁格式。
jq — 命令行 JSON 处理器，用过滤器表达式查询、转换和生成 JSON。
yq — YAML/JSON/XML 处理器，语法类似 jq。
wc — 统计文件或标准输入的行数、单词数、字节数、字符数和最长行宽。
tr — 按字节翻译、删除或压缩字符，常用于大小写转换、清洗控制字符和拆分字段。
tee — 把标准输入同时写到标准输出和若干文件，用于保存中间结果而不打断管道。
xargs — 从标准输入读取参数，分批拼接成命令行后执行指定命令。
rg — 递归搜索文本，默认尊重 .gitignore，速度比 grep 快。
head — 输出文件或输入流开头的若干行或若干字节。
tail — 查看文件末尾并持续跟踪新增内容，是读日志最常用的方式。
bc — 任意精度计算器语言，可交互使用，也可从管道或脚本读取表达式。
dc — GNU 逆波兰计算器，用栈和单字母命令完成任意精度计算。
expr — 求值表达式并打印结果，常用于 POSIX shell 的整数与字符串运算。
fmt — 按指定宽度重排纯文本段落，把长短不齐的行整理成整齐的正文。
fold — 按屏幕列宽把长行折成多行，不改变单词顺序。
iconv — 在不同字符编码之间转换文本，例如 GB18030 转 UTF-8。
join — 按共同字段把两个已排序文本文件连接起来，类似 SQL 的 join。
look — 在已排序的文本中按前缀快速查找匹配行。
od — 以八进制、十六进制、十进制或字符形式转储文件内容。
paste — 把多个文件的对应行按列合并，或把单个文件的行合并成一行。
printf — 按格式串输出文本，比 echo 更可控。
strings — 从二进制文件中提取可打印字符串，用于快速排查符号、路径和硬编码文本。
sum — 计算文件的传统 BSD 或 System V 校验和，用于旧脚本兼容和快速比对。
expand — 把制表符转换为空格，便于对齐与后续按列处理。
col — 过滤反向换行与退格，把终端格式化输出整理成纯文本。
colrm — 从每行删除指定列范围后输出。
diffstat — 读取 diff 输出并汇总每个文件的增删行数。
seq — 生成等差数列，每行一个数。
test — 计算条件表达式，用退出码表示真假。
true — 返回成功退出状态，用作循环条件、占位命令或显式忽略预期失败。
false — 什么都不做并返回失败状态 1，用于条件分支与占位。
read — 从标准输入或指定文件描述符读取一行，并按 IFS 拆分为变量。
mapfile — Bash 内建命令，从标准输入或文件描述符按行读取到索引数组。
echo — 输出参数并追加换行；Bash 内建与 /bin/echo 的行为并不完全一致。
pr — 把文本分页并加上页眉、页脚，便于打印或按页查看。
rev — 逐行反转字符顺序，常用于快速提取路径末段或校验文本。
shuf — 从输入行中随机抽取或打乱顺序，常用于抽样、洗牌和随机选择。
yes — 重复输出指定字符串，常用来连续回答交互式程序的确认提示。

权限与用户

chmod — 修改文件或目录的权限位，控制读取、写入、执行、组继承和删除限制。
chown — 改变文件或目录的所有者和所属组，用于部署交接、共享目录和容器数据。
umask — 设置新建文件和目录的默认权限掩码。
useradd — 创建本地用户账户，并决定 UID、主组、家目录、登录 shell 和初始配置文件。
usermod — 修改已存在用户的附加组、家目录、登录 shell、UID 以及账户锁定和过期状态。
userdel — 从本地账号数据库中删除用户，可选删除家目录和邮件。
passwd — 修改用户密码，并管理密码锁定状态和密码老化（有效期）参数。
groups — 显示当前用户或指定用户所属的组。
id — 显示当前进程或指定用户的 UID、GID 与附加组。
sudo — 按 sudoers 策略以其他用户（默认 root）身份执行命令，并提供授权控制和审计记录。
su — 切换到另一个用户身份运行登录 shell 或单条命令，默认目标是 root。
getfacl — 查看文件或目录的 POSIX ACL 与默认 ACL。
setfacl — 设置文件或目录的 POSIX ACL，实现超出 rwx 三类用户的精细授权。
chattr — 修改 ext2/3/4、XFS、btrfs 等文件系统上的 inode 属性。
lsattr — 列出文件在文件系统层面的 inode 属性。
chfn — 修改用户 GECOS 信息，包括姓名、办公室和电话。
chpasswd — 从标准输入批量更新用户密码。
chsh — 修改用户的登录 shell。
groupmems — 让普通用户管理自己主组的成员列表。
grpck — 检查 /etc/group 与 /etc/gshadow 的一致性和完整性。
grpconv — 由 /etc/group 生成或同步 /etc/gshadow。
grpunconv — 把 /etc/gshadow 的组密码合并回 /etc/group 并删除 gshadow。
newusers — 按 passwd 格式批量创建或更新本地用户。
pwck — 校验本地 passwd 与 shadow 数据库的一致性。
pwconv — 把 passwd 中的密码哈希迁移到 shadow，建立或更新影子密码文件。
pwunconv — 把 shadow 中的密码哈希写回 passwd，并删除 shadow 文件。
smbpasswd — 管理 Samba 用户的密码和账号启用状态。
pkexec — 通过 polkit 授权，以另一用户（默认 root）身份执行程序。
sshpass — 为 ssh、scp、rsync 等程序自动提供密码的非交互包装工具，主要用于无法使用密钥的临时场景。

进程与任务

ps — 读取 /proc 生成进程快照，查看 PID、状态、资源占用和父子关系。
top — 实时查看 Linux 进程、CPU、内存与负载的交互式监视器。
htop — 交互式进程与系统资源查看器，可视为 top 的增强替代。
pgrep — 按名称或命令行正则查找进程 PID，pkill 用同一套规则发信号。
pkill — 按进程名或完整命令行匹配并发送信号，适合批量结束同类进程。
kill — 向进程或进程组发送信号，默认发送 TERM 请求其正常退出。
killall — 按进程名向匹配进程发送信号，默认发送 SIGTERM。
jobs — 查看当前 shell 的作业表，配合 fg、bg、kill 控制前后台任务。
bg — 把暂停的作业放到后台继续运行。
fg — 把后台或暂停的作业切换到前台继续运行。
nohup — 让命令忽略 SIGHUP，并把终端输出重定向到文件。
systemctl — 控制 systemd 系统与服务单元的命令行入口。
journalctl — 查询、过滤和跟踪 systemd 日志的集中入口。
crontab — 管理当前用户的 cron 计划任务，按分钟级规则定时执行命令，并可列出、备份或清空任务表。
at — 在指定时间一次性执行命令或脚本。
nice — 以调整后的 CPU 调度优先级启动命令，降低或提高其 nice 值。
renice — 修改正在运行进程的 nice 值，调整 CPU 调度优先级。
strace — 跟踪进程的系统调用与信号，用来判断程序在等什么、为什么系统调用失败。
disown — 把作业从 shell 的作业表中移除，避免退出时收到 SIGHUP。
exec — 用指定程序替换当前 shell 进程，或用重定向改变当前 shell 的文件描述符。
setsid — 在新会话中运行程序，使其脱离当前控制终端。
skill — 按终端、用户、PID 或命令名向进程发送信号，是 procps 的旧式工具。
pwdx — 显示一个或多个进程的当前工作目录。
prtstat — 以可读格式打印 /proc/PID/stat 中的进程状态字段。
tload — 在终端中用字符图实时绘制系统平均负载曲线。
wait — 等待后台任务结束，并取得它的退出状态。
trap — 在 Shell 中捕获信号与退出事件，在指定时机执行清理或转发操作。
break — Shell 内建命令，用于立即退出当前或指定层数的循环。
continue — Shell 内建命令，跳过当前循环的剩余部分，直接开始下一轮。
source — 在当前 shell 中执行脚本文件。
alias — Shell 内建命令，用于定义、查看和删除当前 shell 的命令别名。
unalias — 删除当前 Shell 会话中已定义的命令别名。
declare — Bash 内建命令，用于声明变量、设置属性以及定义或查看函数。
local — Bash 内建命令，在函数内部声明局部变量。
readonly — 把变量或函数标记为只读，阻止后续修改。
shift — 左移位置参数，丢弃前 N 个。
set — 设置 shell 选项和位置参数。
unset — 从当前 Shell 中删除变量、数组元素或函数定义。
enable — Bash 内建命令，启用、禁用或列出 shell 内建命令。
builtin — Bash 内建命令，强制调用 shell 内建实现，绕过同名函数查找。
command — Shell 内建命令，绕过别名和函数执行命令，并可查询命令来源。
sleep — 暂停执行指定时长。
exit — 以指定状态退出当前 shell，状态码会被截断为 0 到 255。
return — 从函数或 source 的脚本中返回，并设置返回状态。
sh — POSIX shell 解释器，执行可移植的 shell 脚本。
shopt — 查看和开关 bash 的可选行为。
script — 记录终端会话的输入输出到 typescript 文件。
clear — 通过 terminfo 数据库向终端发送清屏序列，清除可见屏幕。
stty — 查看和修改终端行规程设置。
tput — 通过 terminfo 查询或输出终端控制序列。
login — 在终端上完成用户认证并启动登录会话。

磁盘与文件系统

df — 按已挂载文件系统查看磁盘空间或 inode 使用情况。
du — 递归统计目录和文件实际占用的磁盘空间。
lsblk — 以树形列出块设备、分区、文件系统和挂载点。
blkid — 识别块设备上的文件系统类型、UUID、标签和分区标识。
mount — 把块设备、网络存储或伪文件系统挂到目录树上，并查看或调整当前挂载状态。
umount — 卸载已挂载的文件系统，断开目录树与底层设备之间的关联。
fdisk — 查看和编辑磁盘分区表，支持 MBR 与 GPT 等格式。
mkfs — 按文件系统类型格式化块设备的统一前端。
fsck — 检查和修复 Linux 文件系统的统一前端，按类型调用对应的检查器。
pvcreate — 把块设备或分区初始化为 LVM 物理卷（PV），写入标签和元数据区。
vgcreate — 在块设备上创建 LVM 卷组，把物理卷汇总成一个可划分逻辑卷的存储池。
lvcreate — 在卷组中创建逻辑卷、快照或精简池。
mdadm — Linux 软件 RAID 管理。
dd — 按块复制原始数据，可用于镜像、擦除、备份引导记录和测试 I/O。
sync — 把内核页缓存中的脏数据和元数据刷写到持久存储。
quota — 查询用户或组在启用配额的文件系统上的当前用量与限额。
pvchange — 修改物理卷的可分配属性、UUID、标签和元数据忽略状态。
pvck — 检查 LVM 物理卷的标签与元数据，并在损坏时尝试定位或修复。
pvdisplay — 显示物理卷的详细信息，包括所属卷组、PE 大小、已用与剩余空间。
pvremove — 擦除物理卷上的 LVM 标签和元数据，使设备不再被 LVM 识别。
pvscan — 扫描系统中的块设备，列出物理卷，并可为自动激活维护运行时缓存。
vgchange — 修改卷组属性并激活或停用其中的逻辑卷。
vgconvert — 转换卷组元数据格式的历史命令，现代 LVM 已移除该工具。
vgdisplay — 显示 LVM 卷组的详细属性、空间使用情况和关联的物理卷信息。
vgextend — 把一个或多个物理卷加入现有 LVM 卷组，为逻辑卷扩容提供新空间。
vgreduce — 从 LVM 卷组中移除不再使用或已经丢失的物理卷。
vgremove — 删除整个 LVM 卷组及其中的逻辑卷，影响范围覆盖该卷组上的全部数据。
vgrename — 修改 LVM 卷组的名称，同时更新卷组元数据中的标识。
vgscan — 扫描系统中的块设备，发现 LVM 卷组并刷新本地的 LVM 元数据缓存。
lvdisplay — 显示逻辑卷的容量、状态、UUID 和底层映射信息。
lvreduce — 缩小逻辑卷容量，可能造成不可逆的数据丢失。
lvremove — 删除逻辑卷及其上的全部数据。
lvscan — 扫描系统中的逻辑卷并列出其激活状态。
quotacheck — 扫描文件系统，创建或更新 aquota.user 与 aquota.group 配额文件。
quotaoff — 关闭指定文件系统或全部文件系统上的磁盘配额统计与限制。
quotaon — 在已挂载且启用配额的文件系统上开启用户或组配额限制。
repquota — 按文件系统生成用户或组的配额汇总报表。
convertquota — 把旧版 quota.user/quota.group 配额文件转换为新版 aquota.* 格式。
edquota — 用编辑器设置用户、组或项目的磁盘配额与宽限期。

网络与 DNS

ip — iproute2 的核心命令，用来查看和修改链路、地址、路由、邻居、策略规则与网络命名空间。
ss — 直接读取内核套接字表，查看 TCP、UDP、UNIX 连接与监听端口，是 netstat 的现代替代品。
ping — 用 ICMP Echo 检测主机可达性与往返延迟。
traceroute — 通过递增 TTL 逐步发现数据包到达目标所经过的路由器。
dig — BIND 提供的 DNS 查询工具，可指定服务器、记录类型，并追踪从根到权威的完整解析链。
nslookup — 交互式查询 DNS 记录的经典工具。
host — 执行 DNS 查询的轻量命令行工具。
curl — 用命令行发起 HTTP、HTTPS、FTP 等请求并传输数据。
wget — 从 HTTP、HTTPS 和 FTP 下载文件，支持断点续传与递归镜像。
tcpdump — 命令行抓包工具，按表达式过滤网络接口上的流量，并把报文打印或保存为 pcap 文件。
nmap — 网络主机发现、端口扫描与服务/操作系统识别工具。
nc — Netcat，在 TCP/UDP 上读写原始数据的“网络瑞士军刀”。
ssh — 通过加密通道登录远程主机、执行命令并转发端口。
scp — 通过 SSH 在本地和远端之间复制文件或目录，语法类似 cp，但不做增量同步。
rsync — 增量同步本地或远端文件，只传输差异块，并可选保留权限、属主、ACL 和硬链接。
iptables — Linux 上基于 netfilter 的 IPv4 包过滤与 NAT 规则管理工具，用来做防火墙、端口转发和流量计数。
nft — nftables 命令行工具，iptables 的现代替代。
ethtool — 查看和调整以太网网卡的链路、驱动、队列与卸载参数。
arpd — 用户态 ARP 守护进程，缓存 gratuitous ARP 信息以减轻大规模二层网络的广播压力。
arptables — 配置 netfilter 的 ARP 过滤规则，按源/目的 IP、MAC、接口和操作码过滤 ARP 帧。
arpwatch — 监听本地以太网的 ARP 流量，记录 IP/MAC 配对变化并通过 syslog 和邮件告警。
cloudflared — Cloudflare Tunnel 客户端，把本地服务安全暴露到公网。
dhclient — ISC DHCP 客户端，为网卡申请并续租 IPv4/IPv6 地址，再通过脚本配置接口。
dhcpd — ISC DHCP 服务器，按 dhcpd.conf 为客户端动态分配地址并维护租约数据库。
dhcrelay — DHCP 中继代理，把本地网段的 DHCP/BOOTP 请求转发给其它网段的服务器。
dnsdomainname — 显示本机通过主机名解析得到的 DNS 域名部分。
domainname — 显示或设置系统的 NIS/YP 域名，与 DNS 域名无关。
frr — FRRouting 路由协议套件。
hping3 — 可定制报文内容的 TCP/IP 探测与安全测试工具。
ifcfg — RHEL 系传统的网络接口配置文件格式，不是可执行命令。
iperf — 测量 TCP/UDP 吞吐量的客户端/服务端工具，常被称为 iperf2。
ipsec — IPsec VPN 配置与排错。
iptraf — 基于 ncurses 的交互式局域网流量监视器，现多由 iptraf-ng 接替。
iptstate — 以 top 风格实时查看 netfilter 连接跟踪表。
lftpget — lftp 附带的简单下载命令，按 URL 直接取回文件。
mii-tool — 查看和设置网卡 MII/PHY 的链路协商状态，属于旧版 net-tools。
ncftp — 支持书签、断点续传与后台队列的交互式 FTP/FTPS 客户端。
nisdomainname — 显示或设置系统的 NIS/YP 域名。
nfs — NFS 共享的配置与挂载。
openvpn — OpenVPN 服务端与客户端配置。
openvswitch — Open vSwitch 虚拟交换机管理。
pfctl — OpenBSD 与 macOS 上控制 PF 包过滤器的管理工具。
ppp-off — 关闭 pppd 拨号或 PPP 连接的脚本。
rexec — 使用 .netrc 凭据远程执行命令的旧工具（不安全）。
rlogin — 基于 .rhosts 信任的远程交互登录工具（不安全）。
rsh — 基于主机信任的远程 shell 命令（不安全）。
sftp-server — OpenSSH 的 SFTP 协议服务端程序，通常由 sshd 作为子系统调用，而不是直接在终端运行。
ssh-keyscan — 批量采集远程主机的 SSH 公钥，用于构建 known_hosts。
sshpass — 为 ssh、scp、rsync 等程序自动提供密码的非交互包装工具，主要用于无法使用密钥的临时场景。
strongswan — StrongSwan IPsec VPN。
tcpreplay — 把 pcap 文件中的报文按指定速率重新发送到网络接口，用于回放和测试。
tftp — Trivial File Transfer Protocol 客户端，用 UDP 在客户端与服务器之间收发文件。
wireguard — WireGuard VPN 配置与管理。
ypdomainname — 显示或设置系统的 NIS/YP 域名。

系统与启动

uname — 输出内核名称、版本、主机名和硬件架构等信息。
hostname — 显示或临时修改系统主机名。
uptime — 一行显示当前时间、开机时长、登录用户数和系统负载。
free — 查看物理内存、交换分区和内核缓存的使用情况。
vmstat — 按固定间隔输出进程、内存、交换、I/O、中断和 CPU 的汇总指标。
iostat — 查看 CPU 与块设备的 I/O 吞吐、延迟和队列压力。
sar — 按时间维度查看 CPU、内存、I/O 和网络的历史性能数据。
dmesg — 读取内核环形缓冲区，查看启动、驱动、硬件和内核错误日志。
lscpu — 从 sysfs 和 proc 汇总 CPU 架构、拓扑与特性。
lspci — 列出 PCI/PCIe 总线上的设备与驱动绑定。
lsusb — 列出 USB 总线、设备与设备树。
modprobe — 按依赖关系和配置加载或卸载内核模块，并处理别名与模块参数。
insmod — 把指定的内核模块文件插入正在运行的内核。
rmmod — 从当前运行内核中卸载一个已加载的模块。
sysctl — 查看和修改 Linux 内核运行时参数。
ulimit — 查看或设置当前 shell 及其子进程可用的资源上限。
timedatectl — 查看和设置系统时间、时区与 NTP 同步状态。
arch — 打印当前机器的硬件架构名称。
busctl — systemd 的 D-Bus 检查与调用工具。
clock — 查看或设置硬件时钟（RTC），是 hwclock 的旧别名。
clockdiff — 用 ICMP 时间戳报文测量本机与目标主机之间的时钟偏差，分辨率约为 1 毫秒。
consoletype — Red Hat 系 initscripts 提供的工具，判断当前标准输入连接的终端类型。
halt — 停止系统运行；是否真正断电取决于实现和硬件。
hostid — 打印当前主机的 32 位标识符，以十六进制表示。
kexec — 在当前系统运行中直接加载并启动另一个内核。
kernelversion — 打印当前内核版本，主要是旧脚本使用的兼容命令。
loginctl — 查看/管理登录会话与用户。
logname — 打印当前会话的登录名，不读取 USER 环境变量。
lsb_release — 显示发行版的 LSB 兼容信息。
nologin — 作为账户的登录 shell，礼貌拒绝交互式登录并返回非零状态。
ntsysv — 基于文本界面的 SysV 服务管理器，用勾选方式控制各运行级别是否开机启动服务。
poweroff — 安全停止系统、同步并卸载文件系统，然后切断电源。
rcconf — Debian 的文本界面运行级别配置工具，用于启用或禁用 SysV 开机服务。
startx — 从文本控制台启动 X 服务器和一个 X 会话。
systool — 按总线、类、驱动或模块浏览 sysfs 设备与属性。
telinit — 请求 init 切换运行级别，systemd 系统上转发为 target 切换。
times — 显示当前 shell 及其子进程累计的 CPU 时间。
tty — 显示标准输入所连接的终端设备名，并判断当前进程是否运行在终端中。
wall — 向所有登录用户的终端广播一条消息。
write — 向本机另一个登录用户的终端发送即时文字消息。

安全与证书

openssl — OpenSSL 命令行工具箱，用于生成密钥、签发证书、计算摘要、加解密和诊断 TLS。
ssh-keygen — 生成、查看和管理 SSH 密钥、主机键与证书。
ssh-copy-id — 把本地公钥安装到远端账号的 authorized_keys 中。
gpg — 使用 GnuPG 管理 OpenPGP 密钥，并对文件或消息进行加密、解密、签名和校验。
chroot — 把指定目录切换为根文件系统，并在其中运行命令或交互式 Shell。
getenforce — 显示 SELinux 当前运行模式：Enforcing、Permissive 或 Disabled。
semanage — 管理 SELinux 本地策略定制，包括文件上下文、端口、布尔值和登录映射。
setsebool — 临时或持久地设置 SELinux 布尔值开关。
firewall-cmd — firewalld 的命令行客户端，用 zone 和 service 抽象管理运行时与永久生效的防火墙配置。
ufw — Ubuntu 的简化防火墙前端，用易读规则管理 netfilter/iptables 的包过滤策略。
seinfo — 查询 SELinux 二进制策略中的类、类型、角色、用户和布尔值。
xauth — 查看和维护 X11 授权 cookie，让客户端有权连接指定显示。
xhost — 查看和修改 X 服务器的基于主机的访问控制列表。

性能与排障

perf — Linux 性能分析工具，支持采样、tracepoint 和火焰图。
bpftrace — 基于 eBPF 的高级追踪语言，用于内核/用户态动态观测。
bcc-tools — BCC 工具集：基于 eBPF 的现成内核追踪与排障命令。
sysdig — 系统调用级抓取与离线分析工具，支持容器与 Kubernetes 元数据。
flamegraph — 把采样调用栈折叠成 SVG 火焰图，定位 CPU 与阻塞热点。
pidstat — 按进程或线程周期性报告 CPU、内存、I/O 和上下文切换统计。
mpstat — 按 CPU 或整体维度报告处理器使用率，包括用户态、内核态、IO 等待和虚拟化偷取时间。
iotop — 按进程查看磁盘 I/O 带宽的交互式监控工具。
nethogs — 按进程实时显示网络带宽占用的 Linux 监控工具。
iftop — 实时显示网络接口上各连接的带宽占用。
lsof — 列出进程打开的文件、套接字、设备和映射，用于定位端口占用、未释放的删除文件和挂载占用。
fuser — 找出正在使用文件、目录、挂载点或端口的进程，并可选择发送信号。
gdb — GNU 调试器，用于运行、暂停和检查 C/C++ 等程序的状态。
pstack — 打印运行中进程的线程调用栈，通常是对 gdb 的封装。
pmap — 查看进程的虚拟内存映射、权限和物理内存占用。
time — 测量命令的真实耗时以及用户态、内核态 CPU 时间。
watch — 周期性执行命令并全屏刷新输出，便于观察变化。
btop — btop 资源监控。
dstat — 汇总 CPU、磁盘、网络、内存等系统资源的实时统计。
ebpf-probes — eBPF 探针类型：kprobe、tracepoint、uprobe、fentry 与挂载点。
hyperfine — 命令行基准测试工具，统计多次运行并给出置信区间。
inotifywait — 等待 Linux inotify 文件事件，适合触发构建、同步或配置重载。
lnstat — 周期性读取 /proc/net/stat，打印内核网络子系统的统计计数。
procs — ps 的现代替代，彩色/树形/排序。
watchexec — 监视文件变化并运行命令，支持重启、过滤和忽略规则。

包管理与开发

dnf — Fedora/RHEL 的 RPM 包管理器，负责依赖求解、事务执行、仓库管理和历史回滚。
yum — 基于 RPM 的软件包管理器，从仓库解析依赖并完成安装、更新和删除。
pacman — Arch Linux 的包管理器，负责安装、升级、查询和清理软件包。
git — 分布式版本控制系统的核心命令行工具。
make — 按 Makefile 中的依赖关系增量执行构建步骤，只重建过期的目标。
gcc — GNU 编译器集合的驱动程序，完成 C/C++ 的预处理、编译、汇编和链接。
python — Python 解释器命令行。
pip — Python 包安装器，从 PyPI 或私有索引安装、升级和卸载依赖。
node — Node.js 运行时命令。
npm — Node.js 包管理器。
podman — 无守护进程的容器引擎，兼容 Docker CLI。
apk — Alpine Linux 的包管理器，负责安装、升级和查询软件包。
aptitude — Debian/Ubuntu 的高级包管理前端，提供交互界面、搜索表达式和依赖解释。
apt-sortpkgs — 对 APT 的 Packages 或 Sources 索引排序并规范字段顺序。
bazel — Bazel 多语言构建系统。
composer — PHP 依赖管理工具。
conda — 跨语言包与环境管理器。
dotnet — .NET SDK 命令行。
dpkg-deb — 检查、解包和构建 .deb 归档，是 dpkg 的包格式操作工具。
dpkg-divert — 让 dpkg 把某个文件安装到替代路径，用于解决包之间的文件冲突。
dpkg-query — 按自定义格式查询 dpkg 数据库中的包状态、文件和归属信息。
dpkg-reconfigure — 重新运行已安装包的 debconf 配置流程，修改安装时做出的选择。
dpkg-split — 把 .deb 切成多个分片以便传输，并把分片重新合并为完整包。
dpkg-statoverride — 覆盖软件包安装文件的属主、属组和权限，并让规则持续生效。
dpkg-trigger — 通知 dpkg 某个触发器已激活，供维护脚本协调延迟处理。
pipx — 在隔离环境中安装 Python 命令行应用。
rpm2cpio — 把 .rpm 转成 cpio 流，用于查看或提取包内文件而不安装。
rpmbuild — 按 spec 文件构建 RPM 二进制包和源码包，并完成打包检查。
rpmdb — 检查、重建、导出和导入 RPM 数据库，用于修复包数据库异常。
rpmquery — rpm 查询模式的别名命令，用于查询已安装包或 RPM 文件的信息。
rpmsign — 对 RPM 包添加、替换或删除 OpenPGP 签名的工具。
sdkman — JVM 与 SDK 版本管理器。
virtualenv — 创建隔离的 Python 虚拟环境。
just — 用 Justfile 管理常用命令。
gcov — 统计 GCC 插桩程序的代码覆盖率，生成带执行次数的源码标注。
objdump — 反汇编目标文件并查看节区、符号、重定位和头部信息。
readelf — 在不加载程序的前提下查看 ELF 文件头、节区、符号、动态段和重定位。
nm — 列出目标文件、静态库或可执行文件符号表中的符号及其类型。
createrepo — 为 RPM 仓库生成 repodata 元数据，让 dnf/yum 能解析包列表与依赖。
reposync — 把配置好的 RPM 仓库完整或增量同步到本地目录，常用于搭建镜像。
protoize — 把旧式 K&R C 函数定义和声明转换为 ANSI C 原型。
unprotoize — 把 ANSI C 函数原型还原为旧式 K&R 定义和声明。

学习顺序建议

先掌握文件、文本、权限和进程四组，这是日常操作的地基。
再补磁盘、网络、系统三组，能覆盖大多数值班排障。
最后按工作方向选安全、性能或包管理；不要一次背完所有参数。

常见误区

只记命令名，不看输入输出和退出码；排障时无法判断命令是否真的成功。
在 macOS 或 BusyBox 上直接套用 GNU 参数；先看 gnu-vs-bsd-cli 的差异。
用 rm -rf、dd、mkfs 等破坏性命令做测试前，没有确认设备名、挂载点和备份。

参考链接

读完自测

排查磁盘空间时，df 和 du 结果不一致，应该先看哪类文件？
进程无法退出时，kill、pkill 和 kill -9 的使用顺序是什么？
为什么在脚本里要同时检查命令输出和退出码？

答案

先查已删除但仍被进程占用的文件（lsof +L1），再查挂载点覆盖、隐藏目录、快照和容器层；df 统计文件系统，du 只统计可见目录。
先用 kill 发 TERM 给明确 PID，等待优雅退出；再用 pkill 按名称批量处理；最后才用 kill -9，并检查僵尸进程、D 状态和父进程。
输出可能为空但命令失败，退出码也可能为 0 而结果不符合预期；脚本要同时校验退出码、关键输出和业务断言。