Linux命令实战指南：场景驱动学习与高频排查技巧

开头我先说个现象：很多刚接触 Linux 的人，第一反应是去背“linux常用命令大全”，背了几天发现自己还是不会用。原因很简单，命令这东西不是靠背的，是靠场景练出来的。你在什么场景下需要删文件、查日志、看端口、传文件，命令自然就记住了。这篇内容我就照着实际运维和日常使用的角度，把 Linux 命令里最常用、最容易踩坑、面试和工作里真正会碰到的部分过一遍，顺便把一些命令背后的原理讲清楚。无论你是刚入行的运维、做嵌入式开发的同学，还是偶尔要在服务器上操作的测试和研发，这篇内容应该都能帮你省下不少搜索时间。

这篇内容不会按“命令大全”那种流水账式写法来，而是按我实际工作里的套路来组织：目录文件操作、用户权限、进程网络、文本处理、容器部署、疑难排查。每个部分都会给命令、给场景、给坑，最后再说说我自己整理的一套“命令错题本”，希望你看完能少走点弯路。

1. 为什么说 Linux 命令是绕不开的基本功

1.1 命令不是背出来的，是“用”出来的

很多人一开始会问：现在图形界面这么成熟了，为什么还要用命令行？这个问题我早期的想法也是“图形界面方便”，直到我开始批量操作几十台服务器才发现，图形界面根本没法批量处理。你需要在一台机器上执行同样的操作，用 shell 脚本几十台机器一起跑，几分钟就完事。图形界面下你得一台台点，还得担心误操作。

另一个原因是，Linux 服务器的很多问题，图形界面根本看不到。比如系统负载突然高了、内存不够了、磁盘 IO 卡住了、某个端口被占了，这些都是命令行下用 top、free、iostat、ss 这些命令一眼就能定位的。图形界面反而把这些细节藏起来了。

我给你的建议是：不要按字母顺序去记命令，而是按“问题”去记命令。比如“我想知道谁占用了 8080 端口”这个问题，对应的是 ss -lntp | grep 8080；“我想看昨天的日志有没有报错”，对应的是 grep -E "ERROR|Exception" app.log。用问题驱动记忆，命令会自己长在脑子里。

1.2 我日常最高频的命令清单（附场景）

我整理了一份自己在真实工作中几乎每天都会用到的命令清单，不是那种几百条的大全，而是真正高频、随手就要敲的：

这些命令看着简单，但每一条都有值得展开的细节。下面我会挑几个重点展开讲，尤其是那些看起来“会”但实际很容易出问题的。

2. 目录与文件操作：从入门到闭着眼都能敲

2.1 新建、删除、移动、查找，别再用 Windows 的思维去理解

Linux 的目录结构和 Windows 完全不同。Windows 有 C 盘、D 盘这样的盘符概念，Linux 只有一个根目录 /，所有设备、分区都挂载在某个目录下。这个思维的转变很重要，否则你在 ls / 的时候会看不懂那一堆目录是干什么的。

先说说常用的目录操作：

• mkdir -p /data/logs：-p 参数表示“如果父目录不存在就自动创建”，这个参数在写脚本时几乎必须加，不然目录层级一多就会报错。
• rm -rf dir：这是删除文件夹最常用的命令，也是风险最高的命令。-r 是递归删除，-f 是强制删除。千万不要在关键目录下乱敲 rm -rf，尤其是 rm -rf / 这种，绝对不要尝试。我见过有人在生产环境手滑把项目目录删了的，最后只能从备份恢复，折腾到凌晨。
• mv old new：移动文件，同一个目录内移动就是重命名。注意 mv 命令如果目标位置已经存在同名文件，会直接覆盖，不会提示。所以我在执行覆盖操作前会用 ls 先确认一下目标目录情况。
• cp -a source dest：复制文件并保留属性，-a 是归档模式，适合复制目录和保留权限、时间戳。

查找文件是另一个高频需求。最基本的 find 用法是这样：

bash复制find /etc -name "*.conf" -type f

意思是在 /etc 目录下找所有以 .conf 结尾的普通文件。-type f 是限定类型为文件，避免目录混进来。如果你想找最近 7 天内修改过的文件：

bash复制find /var/log -mtime -7 -type f

-mtime -7 表示修改时间在 7 天以内。+7 则是 7 天以前。这个参数在排查“哪个日志文件最近更新过”时特别好用。

2.2 查找文件到底用 find 还是 locate

很多人会纠结 find 和 locate 的区别。find 是实时搜索磁盘，准确但慢；locate 是查数据库，快但不一定最新。locate 依赖系统定期更新的数据库，新创建的文件可能查不到，需要先执行 updatedb 更新数据库。

实际工作中我更推荐 find，虽然慢一点，但不会因为数据库过期给出错误结果。不过有个技巧：find 全盘搜索很费时间，尽量限定路径范围。比如你知道配置文件可能在 /etc 下，就用 find /etc -name "*.conf"，不要一上来就 find / -name "*.conf"。如果确实需要全盘找，可以加 -xdev 参数避免搜索挂载的其他分区，速度会快很多。

另外，which 和 whereis 可以用来找命令本身的位置：

bash复制which python3
whereis nginx

which 返回的是命令的完整路径，whereis 除了路径之外还会返回源码、文档的位置。排查“为什么我敲了命令提示找不到”的时候，用 which 第一个上。

2.3 删除文件夹命令的风险和正确姿势

“linux删除文件夹命令”这个搜索词热度一直很高，说明很多人确实在这上面吃过亏。删除目录的常用命令是 rm -rf，但正确的姿势不是“敢删”，而是“先确认，再删除”。

我自己的习惯是分三步走：

1. 先 ls -lah 看看这个目录里有什么，确认是不是要删的东西。
2. 用 du -sh 目录名 看一下目录大小，防止误删了一个大目录还浑然不知。
3. 执行删除前，如果目录比较重要，先 tar 打包备份到别处，再删。

还有一个技巧：rm 是没有“回收站”概念的，删除就是真没了。如果你想给 rm 加一层保险，可以在 .bashrc 里设置一个别名：

bash复制alias rm='mv -t ~/.local/share/Trash/files'

这样 rm 实际上变成了“移动到回收站”，万一误删还能救回来。当然这个别名只对当前用户生效，而且用 sudo rm 的时候依然是要小心的。生产环境更推荐用 safe-rm 这类工具，或者干脆在关键路径上设置不可修改权限：

bash复制chattr +i /data/important_dir

设置后即使是 root 用户也无法直接删除这个目录，需要先 chattr -i 去掉限制。这个命令在防误删场景下非常实用，但注意不要对系统目录乱加，否则会影响系统运行。

3. 用户、权限和进程管理：运维路上的三道坎

3.1 新建用户和用户组，别上来就 useradd

创建用户这个操作看着简单，但坑很多。最简单的用法是：

bash复制useradd -m -s /bin/bash zhangsan

-m 表示创建用户的家目录，-s 指定默认 shell。如果你只敲 useradd zhangsan，大概率会建一个没有家目录、shell 还是 /bin/sh 的用户，登录体验会非常别扭。

给用户设置密码：

bash复制passwd zhangsan

交互式输入两次密码即可。如果你需要在脚本里非交互设置密码，可以这样：

bash复制echo "123456" | passwd --stdin zhangsan

但要注意，明文密码直接出现在命令行里，会在 shell history 留下记录。更安全的做法是用 chpasswd：

bash复制echo "zhangsan:123456" | chpasswd

这同样会在 history 里留下痕迹，所以如果是在生产环境批量创建用户，建议用脚本从外部文件读取密码，或者干脆用 ansible 这类自动化工具来管用户。

新建用户之后通常还要加到 sudo 用户组，不同发行版组名不一样：Debian/Ubuntu 是 sudo 组，CentOS/RHEL 是 wheel 组。

bash复制usermod -aG sudo zhangsan

-aG 是追加到附加组，注意一定要带 -a，否则会把用户从原来的附加组中移除，可能导致用户丢失某些权限。我在刚接触 Linux 的时候在这上面吃过亏，把用户直接给搞没了权限。

3.2 权限：rwx 不只是三个字母

Linux 文件权限是三组 rwx：所有者、所属组、其他人。对应到数字就是 r=4、w=2、x=1。所以 chmod 755 file 的意思是所有者有 7（读+写+执行）、组和其他人有 5（读+执行）。

很多教程会让背数字，但我想强调一个更重要的点：目录的执行权限 x 决定了你能不能进入这个目录。如果你只有一个目录的 r 而没有 x，你 ls 能看到文件名，但 cd 进不去，也读不了文件内容。这在实际排障时经常遇到。

修改文件所有者用 chown：

bash复制chown zhangsan:appgroup /data/app/config.yaml

前面的 zhangsan 是所有者，后面的 appgroup 是所属组。有时候我们只想改组，不改所有者，可以这样：

bash复制chown :appgroup /data/app/config.yaml

这个简便写法在很多老手手里也很常用。还有一个容易被忽略的是 chmod -R：递归修改目录下所有文件权限。用的时候要谨慎，因为目录和文件的权限通常不一样，一刀切可能导致奇怪的问题。如果只要让 web 服务能读日志目录，建议只 chmod +r 而不必递归，或者用 find 配合 chmod 分别处理。

3.3 进程和端口排查三板斧

排查进程和端口是运维基本功，我的三板斧是：ps、ss、top。

1. 看进程列表：ps -ef。这个命令会列出所有进程，配合 grep 过滤，比如 ps -ef | grep java。另外 ps aux 也是常见用法，输出格式略有不同但信息量差不多。
2. 看端口占用：ss -lntp。-l 是监听状态，-n 不解析服务名，-t 只看 TCP，-p 显示进程名和 PID。如果你想看某个端口是不是通了，可以 ss -lntp | grep 8080。在老系统里可能没有 ss，用 netstat -tlnp 效果类似。
3. 看系统负载：top。进入交互界面后按 P 按 CPU 排序，按 M 按内存排序。如果你想退出，按 q。另外 top -u zhangsan 可以只看特定用户的进程。

如果某个进程占用资源异常，很多时候你需要把它找出来然后干掉：

bash复制kill -9 PID

-9 是强杀，不要滥用。普通情况下先 kill PID 发 SIGTERM，让进程自己处理收尾工作；没反应再 kill -9。直接 -9 可能会导致数据文件损坏，尤其是数据库进程，这点我深有体会。

4. 网络与远程操作：telnet、curl、ssh 的日常用法

4.1 telnet 命令怎么用，为什么现在还用

“telnet命令怎么用”这个搜索词让我挺感慨的，因为在今天，telnet 已经不是一个日常登录工具了，它更多被当作“端口连通性测试工具”在用。

最简单的用法：

bash复制telnet 192.168.1.10 3306

如果端口通，你会看到类似 Connected to 192.168.1.10 的提示；如果不通，会卡一会儿然后提示 Connection refused 或超时。这比 ping 更能说明问题，因为 ping 只能测试主机通不通，不能确认某个具体端口是否开放。

很多生产环境默认没装 telnet 客户端，CentOS 上可以用 yum install -y telnet，Ubuntu 上用 apt install -y telnet。但出于安全考虑，我一般更推荐用 nc 来做端口测试：

bash复制nc -vz 192.168.1.10 3306

-v 显示详细信息，-z 不发送数据只检测端口是否开放。nc 的另一个好处是可以直接测试 TCP 连接并在连接后手动发送数据，比如拿它测试 Redis：

bash复制nc 127.0.0.1 6379
PING

一般会返回 +PONG。这比 telnet 进入交互模式后再手动输入命令方便多了。

4.2 远程文件传输和端口测试的实战

日常工作和服务器打交道，文件传输是绕不开的。最常用的是 scp：

bash复制scp /local/file.txt user@host:/remote/path/

如果你想从远程下载文件：

bash复制scp user@host:/remote/file.txt /local/path/

scp 基于 SSH，所以使用之前要先确保 SSH 能连通。这里有个小技巧：如果目标目录不存在，scp 不会自动帮你创建，会直接报错。所以可以先 ssh user@host "mkdir -p /remote/path"，再执行 scp。

如果文件很大，或者断线了想续传，用 rsync 更合适：

bash复制rsync -avP /local/dir/ user@host:/remote/dir/

-a 归档模式，-v 显示详情，-P 显示进度并支持断点续传。rsync 还有个好处是只传差异部分，所以第二次同步会非常快。这是我把数据库备份从服务器拉回本地时的首选。

如果你想在本地快速测一下远程端口，除了 nc 还可以用 timeout 配合 bash 的 /dev/tcp：

bash复制timeout 2 bash -c 'echo >/dev/tcp/192.168.1.10/3306' && echo "port open" || echo "port closed"

这算是 shell 技巧里比较高级的玩法，适合在没有 nc、没有 telnet 的极简环境里应急用。

4.3 从 Windows 访问 Linux：WSL 和共享文件

很多做嵌入式开发或者用 Windows 笔记本连服务器的同学，都会遇到“windows与linux共享文件”的需求。最直接的方式是用 SCP/SFTP 工具（比如 WinSCP、FileZilla），但如果你装了 WSL（Windows Subsystem for Linux），其实可以更丝滑。

WSL 环境下，Windows 的磁盘会挂载在 /mnt/c/ 这样的路径下，你在 WSL 里能直接访问 Windows 文件。反过来，Windows 也能通过 \\wsl$\<发行版名>\home\用户名\ 访问 Linux 文件系统。这个互访机制在开发时特别方便，比如你想在 Linux 环境里跑脚本，但脚本在 Windows 桌面，直接 /mnt/c/Users/你的用户名/Desktop/ 就能找到。

不过要提醒一句：WSL 和 VMware/VirtualBox 虚拟机不一样，它不是一个完整的独立内核，而是 Windows 上的一个兼容层，模块加载、内核编译这类操作受限。所以你要是做内核开发或者需要特定内核模块，还是得用虚拟机或真机。WSL 更适合日常脚本、命令行工具、Docker（Docker Desktop 基于 WSL2）这类工作。

说到 WSL，还有一个常见报错是“适用于 Linux 的 Windows 子系统必须更新到最新版本才能继续”，这个大概率是 WSL 版本太老或者内核组件没更新。解决办法通常是把 WSL 升级到 WSL2 并更新内核，或者到“启用或关闭 Windows 功能”里确认勾选了“虚拟机平台”。我自己折腾过一次之后，后来新机器第一件事就是先把 WSL 环境搭好，后面省太多事。

5. 文本处理三剑客与 vim 的几个保命技巧

5.1 grep、awk、sed 怎么配合干活

排查日志、处理配置文件是每天都会做的事，而 grep、awk、sed 这三个命令是文本处理的绝对主力。

grep 最基础，也是用的最多的。我以前看到 grep -r "关键字" /目录 能递归目录搜索，就觉得已经很厉害了。后来发现配合 -E 用正则更强大：

bash复制grep -E "ERROR|FATAL" app.log

这是同时匹配多个关键词。如果你想排除某些行：

bash复制grep -v "^#" nginx.conf

-v 是反向匹配，也就是“不包含”。这个在过滤注释行时很好用，比如你想看 nginx 配置里所有非注释的有效配置行。

awk 擅长按列处理。默认按空格或制表符切分，$1 是第一列，$2 是第二列。举个实际例子，我想看系统里所有普通用户的用户名（即 /etc/passwd 中 UID 大于等于 1000 的用户）：

bash复制awk -F: '$3 >= 1000 {print $1}' /etc/passwd

-F: 表示按冒号切分，$3 是 UID，$1 是用户名。这一段逻辑其实就是“筛选 + 打印”，用脚本语言写很啰嗦，但 awk 一行搞定。

sed 擅长替换和流编辑。最常见的用法是替换文件内容：

bash复制sed -i 's/old_string/new_string/g' config.conf

-i 是原地修改，s 是替换命令，g 是全局替换。这里有个大坑：-i 直接改原文件，万一正则写错了，文件内容就乱了。所以我在执行重要文件的 sed -i 之前，一定会先复制一份备份，或者先不加 -i 执行一遍看输出对不对：

bash复制sed 's/old_string/new_string/g' config.conf

这样替换结果会打印到屏幕，但不会改文件，确认没问题了再加 -i。这个习惯帮我避免过好几次事故。

三个命令配合起来，可以完成很多看似复杂的操作。比如我想把 nginx 访问日志里所有响应码是 500 的 IP 统计出来：

bash复制grep " 500 " access.log | awk '{print $1}' | sort | uniq -c | sort -rn

一步步拆解：先过滤出包含 500 的行，然后提取第一列 IP，再排序，uniq -c 统计去重数量，最后按数量倒序排列。这一条管道下来，整个排查链就完整了。

5.2 vim 命令：至少记住这几个能救命

vim 这个话题在服务器上永远绕不开。很多新手一进 vim 就懵，不知道怎么退出，干脆直接关终端。我把最简单实用的 vim 操作按“场景”列一下，你只需要记住这几个，日常工作基本就够用了。

• 进入文件：vim /path/to/file
• 进入编辑模式：按 i（光标处插入）
• 退出编辑模式：按 Esc
• 保存并退出：:wq（write quit）
• 不保存退出：:q!（quit force）
• 跳到文件末尾：大写 G
• 跳到文件开头：小写 gg
• 搜索关键字：输入 /关键字，回车后按 n 下一条，N 上一条
• 撤销上一步：u
• 复制当前行：yy
• 粘贴：p
• 删除当前行：dd

这些操作里最容易踩坑的是“按了 i 之后不知道自己在编辑模式，又想执行命令”。记住一个判断标准：如果按 : 没反应或者 wq 变成了输入内容，说明你还处于编辑模式，先按 Esc 回到普通模式，再执行命令。

另外，很多人习惯用 Ctrl+S 保存，但在终端里 Ctrl+S 是暂停输出，不是你想象的那种“保存”。你会在 vim 里发现按了之后整个终端卡住了，所有输入都没反应。这其实是终端流控制被暂停了，按 Ctrl+Q 解除。这个问题我见过好几个同事遇到过，以为是服务器卡死了。

6. 容器与离线部署：containerd、docker 和镜像拉取

6.1 containerd 命令和 docker 命令的对应关系

这几年 Kubernetes 普及之后，containerd 取代 docker 成为很多集群的默认容器运行时。于是很多人需要一个“containerd 命令速查”，因为名字不一样，用起来确实不顺手。

我整理了一个简单的对照表：

看到这里你应该发现了，ctr 用起来比较底层，很多日常操作不如 docker 方便。所以如果你在用 containerd，我更推荐装一个 nerdctl，它是 containerd 的 Docker 兼容命令行工具，nerdctl ps、nerdctl images、nerdctl exec 这些用起来跟 docker 几乎一样。还有 crictl 是 Kubernetes 社区的标准 CLI，在 k8s 节点上用起来最顺手。

需要注意 ctr 后面的 -n=k8s.io 参数。containerd 支持命名空间隔离，默认命名空间是 default，但 Kubernetes 使用的是 k8s.io 命名空间。所以如果你执行 ctr images list 看不到镜像，但 crictl images 能看到，大概率就是命名空间没对上。

6.2 国内镜像源和离线环境下的实践经验

容器镜像拉取在国内网络环境下是个高频痛点。很多人搜“ollama国内镜像linux”，本质上也是想解决镜像下载慢的问题。Docker 的镜像源配置文件是 /etc/docker/daemon.json，如果你用 Docker 可以加一行：

json复制{
  "registry-mirrors": ["https://docker.m.daocloud.io"]
}

然后重启 Docker：systemctl restart docker。不同镜像源的稳定性、速度和可用范围会变，所以不建议长期依赖某一个，最好多准备两个备选。

如果你用的是 containerd，配置文件通常在 /etc/containerd/config.toml，需要修改 [plugins."io.containerd.grpc.v1.cri".registry.mirrors] 部分，这个配置结构比较复杂，改之前最好先备份，然后用 containerd config dump 查看当前生效配置。改完同样要重启 containerd。

另一件更重要的事是离线环境。很多内网机器无法访问外网，安装软件、拉镜像都很费劲。我的建议是提前在有网环境准备好离线包：

1. Docker 环境下，用 docker save -o images.tar 镜像名:tag 导出镜像。
2. 到内网机器上用 docker load -i images.tar 导入。
3. containerd 环境下用 ctr -n=k8s.io images import images.tar 导入。

这里有个容易忽略的问题：docker save 默认导出的是镜像本身，但如果你用的是 Kubernetes，可能还需要把 k8s.gcr.io 这类仓库名改成你自己的私有仓库地址，否则导入后 tag 不匹配，Pod 拉取时还是会去原仓库拉。解决办法是在 docker tag 或 ctr images tag 里面重新打 tag，或者用 skopeo copy 这类工具在离线迁移时直接改目标仓库地址。

7. 常见问题与排查技巧实录

7.1 命令找不到、权限不足、卡死无响应

这几个是 Linux 新手最常见的三个问题，我一个个说。

“命令找不到”的报错通常是 command not found。原因可能是：命令没安装、PATH 环境变量没包含命令所在目录、或者你用的是 sudo 但 sudo 环境没继承当前用户的 PATH。排查思路是先用 which 命令名 看看有没有路径。如果有路径但没法直接执行，检查你的 PATH：

bash复制echo $PATH

如果确认命令已安装但 PATH 里没有，可以临时加一下：

bash复制export PATH=$PATH:/usr/local/bin

不过这只对当前会话生效。想永久生效，要写到 ~/.bashrc 或者 /etc/profile，然后 source ~/.bashrc。

“权限不足”的报错一般是 Permission denied。这个很好排查：先看文件的所有者和权限：

bash复制ls -lah 文件名

然后确认你当前用户是不是所有者，或者是否在所属组内。如果是系统管理类操作，直接加 sudo 执行。但 sudo 不是万能的，如果文件本身连 root 都不能访问（比如 SELinux 限制），那就得去查 SELinux 的 audit 日志：

bash复制ausearch -m avc -ts recent

“卡死无响应”这个情况比较复杂。如果是某个终端卡住，可以先按 Ctrl+C 中断当前命令。如果整个系统都没响应，但 SSH 还能连进去，就用 top 看是不是某个进程 CPU 占满，然后针对性处理。如果系统完全没响应，只能强制重启，这种情况我遇到过几次，事后基本都发现是磁盘 IO 满了、内存耗尽触发了 OOM、或者进程的“不可中断睡眠”状态太多。所以平时养成看监控、看日志的习惯比什么都重要。

7.2 shell 脚本和面试中容易被问到的坑

写 shell 脚本的时候，最容易踩的坑我总结了一下：

1. 变量赋值等号两边不能有空格。name = "test" 会报错，正确的是 name="test"。
2. 变量使用要加双引号。echo "$name" 和 echo $name 在变量值包含空格时结果不一样。不加引号会导致 shell 把内容做词分割，这在处理文件路径时特别容易出问题。
3. 循环和条件的写法有一个经典坑：

bash复制if [ $? -eq 0 ]; then
  echo "success"
fi

注意 [ 和后面之间必须有一个空格，$? 表示上一条命令的返回值，-eq 表示数值等于。如果用 = 比较字符串，也会有细微差别。

4. shift 命令用于位置参数左移。比如脚本执行 ./test.sh a b c，$1=a，$2=b，执行 shift 后 $1=b，$2=c。这个命令在解析命令行参数时很有用，但新手容易搞混移位后的参数个数，写循环的时候要特别小心。

面试里还经常考 grep、awk、sed、find、xargs 这些的组合用法。比如很经典的一道题：“找出当前目录下所有大于 100MB 的文件并删除”。答案是：

bash复制find . -type f -size +100M -exec rm {} \;

或者用 xargs 版本：

bash复制find . -type f -size +100M | xargs rm -f

这两个写法的区别在文件名包含空格时会体现出来。xargs 默认以空格分割，遇到带空格的文件名会出问题，需要用 -0 参数配合 find -print0。所以更稳妥的写法是：

bash复制find . -type f -size +100M -print0 | xargs -0 rm -f

这一类细节在面试和实际生产中都很重要。

7.3 我记录的“命令错题本”

最后分享一下我这个“命令错题本”，都是自己在实际环境中真实踩过的坑，希望你能绕过去。

第一个错题是 kill -9 用得太随意。以前我用 kill -9 杀一个 Java 进程，结果那个进程正在写一个数据文件，强杀之后文件损坏，导致服务启动时一直报错。后来我给自己定了一个规则：kill -9 只用于确认进程无响应，或者非常紧急的场景，正常关闭先 kill PID，等几秒再检查进程是否退出。

第二个错题是 tar 命令的压缩参数顺序。tar -czf 和 tar -xzf 的区别我经常记混，后来我用一个笨办法记住了：c 是 create（创建压缩包），x 是 extract（解压）。所以创建是 -czf，解压是 -xzf。另外 -f 一定要放在最后，因为 -f 后面跟的就是文件名，如果放错位置，tar 会把后面的参数当成文件名，报错很诡异。

第三个错题是关于 clean 类操作的。比如 docker system prune -a 会把所有未被使用的镜像都删掉，包括你旧的版本。如果你需要回滚版本，镜像没了就完了。现在我做这类清理操作前，一定会先 docker images | grep 关键字 确认一下要保留的镜像还在，或者干脆加白名单。同理，git clean -fd 这类命令也尽量少在项目目录乱执行，它会删除未跟踪文件，如果里面有本地配置文件，后果很严重。

第四个错题是关于 chmod 的。有一次我给一个项目目录执行了 chmod -R 777，结果服务是跑起来了，但后来安全检查时被要求整改。更尴尬的是，目录权限变成 777 之后，其他用户也可以随意修改文件，存在安全风险。后来我改成按需授权：给运行用户设置属主，目录用 755，日志文件用 644，需要写的目录单独设置 chmod g+w。

这些经验不是什么高深技术，但都是在真实环境里用时间和事故换来的。

8. 结尾

写了这么多，其实想表达的核心就一句话：Linux 命令不是拿来背的，是拿来解决问题的。每个命令背后都有一个场景，每个场景都有一套对应的排查思路。你不需要把“linux常用命令大全”从头到尾背下来，只需要把最核心的那几十个命令练熟，遇到问题知道去哪查、怎么查，就已经超过很多人了。

我个人在实际操作中的体会是：学习 Linux 命令最有效的方式，就是每天在服务器上故意搞点小问题，比如模拟一个进程占满 CPU、模拟一个磁盘满、模拟一个端口被占用，然后用命令去定位、去解决。这个过程你只要完整走一遍，那些命令就长在脑子里了，比看十篇教程都管用。

另外，如果你真的想系统性提升，建议准备一个自己的“命令错题本”，把每次踩坑、报错、解决过程记下来。过几个月回头看，你会发现那些“疑难杂症”都是有共性的，而你已经形成了一套自己的排查方法论。这比收藏一堆命令大全有用得多。