Linux查看进程子进程，pgrep与pstree命令详解

本文深入解析了在Linux系统中精准查找进程子进程的多种方法，强调ps命令结合PPID筛选是最可靠的基础手段，尤其适用于僵尸进程或跨用户场景；pstree虽直观但存在默认过滤、线程混淆和不显示僵死进程等局限，需配合sudo和参数调优才能获得完整视图；pgrep -P则以简洁高效见长，专为脚本自动化设计，但仅返回直接子进程且受命名空间和进程名修改影响；最终指出/proc/[pid]/children和/proc/[pid]/stat等内核接口才是终极真相来源，能绕过所有用户态工具的权限与缓存限制——无论你是排查异常子进程、编写运维脚本，还是深入理解Linux进程模型，这些方法组合都能帮你穿透表象，直达本质。

ps -o pid,ppid,comm 查看进程及其直接子进程

想快速确认某个进程有没有子进程、有哪些子进程，最直接的方式不是靠树状图，而是用 ps 抓出 PID、PPID 和命令名三列，再按 PPID 筛选。比如查 PID 为 1234 的进程的子进程：

ps -o pid,ppid,comm -e | awk '$2 == 1234 {print $1, $3}'

这比先找父进程再肉眼扫树更可靠，尤其当子进程已退出、只留僵尸状态时，pstree 可能不显示，但 ps 仍保有记录。

• ppid 列是关键，它指向父进程 ID；子进程的 ppid 必须等于目标进程的 pid
• 注意：ps -e 包含所有进程，但不含内核线程（如 [kthreadd]），它们的 ppid 可能为 2，不属于用户进程树
• 如果目标进程刚启动不久，子进程可能还没完成 fork/exec，此时 ps 可能查不到——需配合 strace -p PID 观察系统调用

pstree -p 以树形展示父子关系，但默认只显示当前用户进程

pstree 的优势是直观，但它默认过滤掉非当前用户的进程，容易漏掉关键子进程（比如 root 启动的服务派生出的 worker 进程）。要看到完整树，必须加 -p（显示 PID）和 -u（显示用户），并用 sudo 提权：

sudo pstree -p -u | grep --color=always -B2 -A2 "nginx\|java"

输出中每个括号里的数字就是 PID，缩进表示父子层级。但要注意：

• 同一进程名多次出现，不代表多个独立进程——可能是多线程，pstree 默认把线程也画成子节点（可用 -T 关闭线程显示）
• 守护进程（daemon）常会 double-fork 脱离终端，导致其子进程的 ppid 变成 1，pstree 会把它挂在 systemd 或 init 下，而非原始父进程下
• pstree 不显示已僵死（zombie）的子进程，它们只在 ps 的 STAT 列标为 Z

pgrep -P 查指定父进程 ID 的子进程，适合脚本自动化

当需要在 shell 脚本里判断某个服务是否还活着、或者批量 kill 其子进程时，pgrep -P 是最干净的选择。例如查 PID 5678 的所有子进程 ID：

pgrep -P 5678

它只输出 PID 列表，无多余字段，可直接传给 kill 或 ps：

kill $(pgrep -P 5678)

但要注意几个边界情况：

• pgrep -P 只返回**直接子进程**，不递归；若要查整个子树，得用循环或 pstree -p PID | tr '\n' ' ' | grep -oE '[0-9]+'
• 某些容器环境（如 Docker）中，进程 namespace 隔离后，宿主机上用 pgrep -P 可能查不到容器内子进程，此时应进入容器命名空间再执行
• pgrep 默认匹配进程名（comm），不匹配完整命令行；若子进程改了 argv[0]（如 Python 脚本设了 prctl(PR_SET_NAME)），可能匹配失败

procfs /proc/[pid]/task/ 和 /proc/[pid]/children 是内核级真相源

当 ps、pstree、pgrep 结果不一致，或怀疑进程被 ptrace 挂起、被 cgroup 限制时，直接读 /proc 是唯一可信方式。每个进程目录下：

• /proc/[pid]/task/ 子目录列出所有线程（LWP），每个子目录名即线程 ID，主线程与进程 PID 相同
• /proc/[pid]/children（Linux 4.1+）文件直接给出该进程所有**直接子进程的 PID 列表**，空格分隔，无格式干扰
• /proc/[pid]/stat 第四列（ppid）和第七列（pgid）能验证父子/进程组关系，比用户态工具更底层

例如确认子进程是否真属某父进程：

cat /proc/1234/children  # 输出：5678 5679

然后检查 /proc/5678/stat 第四列是否等于 1234。这步绕过了所有用户态缓存和权限过滤，但要求你有读取 /proc 的权限——在严格锁定的生产环境，可能被 hidepid=2 挂载选项屏蔽。

理论要掌握，实操不能落！以上关于《Linux查看进程子进程，pgrep与pstree命令详解》的详细介绍，大家都掌握了吧！如果想要继续提升自己的能力，那么就来关注golang学习网公众号吧！