Linux mount namespace 如何验证进程看到的目录

同一个路径在宿主机能看到，在容器或某个服务进程里却提示不存在，先别急着重新挂载。最稳妥的判断顺序是：读取 /proc/PID/ns/mnt 确认进程的 mount namespace，查看 /proc/PID/mountinfo 里的挂载视图，再用 nsenter -t PID -m 进入同一挂载命名空间检查目录。这样能把“目录没有挂载”“进程根目录不同”和“权限不够”分开。

验证进程看到的目录，关键不是在宿主机执行一次 ls，而是让检查命令使用目标进程的挂载视图，并记录 namespace 标识、挂载点和错误类型。

先确认目标进程和 mount namespace

先保存目标 PID，再读取两个 namespace 标识。符号链接中的数字是 namespace 的 inode 标识；两个进程的 mnt:[...] 相同，说明它们看到的是同一个 mount namespace。不要只凭容器名称判断，因为容器内的主进程可能已经退出，PID 也可能被系统复用。

pid=1234
# 这里替换成仍在运行的目标进程 PID，避免检查到已经复用的旧编号。
test -d /proc/"$pid" || { echo "目标进程不存在"; exit 1; }

# 读取目标进程的 mount namespace 标识。
readlink /proc/"$pid"/ns/mnt

# 与当前 shell 的标识对照；两行相同才表示处于同一挂载命名空间。
readlink /proc/self/ns/mnt

如果读取 ns/mnt 失败，常见原因是权限检查、目标进程刚好退出，或者目标 PID 来自另一个 PID namespace。先重新获取 PID 并确认进程状态，再决定是否使用具有足够权限的诊断账号。

用 mountinfo 定位进程实际看到的挂载点

确认目标存在后，读取 /proc/PID/mountinfo。它比只看宿主机的 mount 输出更贴近问题现场：每条记录包含挂载 ID、父挂载 ID、根目录、挂载点和文件系统类型等信息。挂载点在文件中可能经过转义，路径包含空格时不要简单地把整行当作普通空格分隔文本。

pid=1234
mountpoint=/data
# 先看目标命名空间中与目录相关的挂载记录；grep 只是初筛，不替代完整解析。
grep -E " ${mountpoint}([[:space:]]|$)" /proc/"$pid"/mountinfo

# /proc/PID/mounts 给出该进程命名空间中的已挂载文件系统列表。
grep -E " ${mountpoint}([[:space:]]|$)" /proc/"$pid"/mounts

两份文件都找不到 /data，通常说明这个挂载点不在目标视图中；但如果 /data 是普通目录，仍可能存在未单独挂载的目录项。这里要继续进入目标 namespace 做路径测试，不能把“没有挂载记录”直接等同于“目录不存在”。

用 nsenter 在同一挂载视图检查目录

nsenter 的 -m 选项会进入目标进程的 mount namespace。检查时只切换挂载视图，命令中的 /data、findmnt 和 ls 才与目标进程使用同一套挂载关系。示例中的输出是读者执行后应关注的字段，不代表这台机器已经运行过该命令。

pid=1234
path=/data
# 只进入目标的 mount namespace，不把它误当成完整容器登录。
sudo nsenter -t "$pid" -m -- sh -c '
  # 先确认当前检查 shell 已经切换到目标挂载视图。
  readlink /proc/self/ns/mnt
  # 用目录测试区分“不可见/不存在”和“可访问”。
  if [ -d "$0" ]; then
    printf "目录可见: %s\\n" "$0"
    findmnt -T "$0" || true
    ls -ld "$0"
  else
    printf "目录不存在或在当前视图不可见: %s\\n" "$0"
    exit 2
  fi
' "$path"

实际排障时，先看 namespace 标识，再看目录测试结果。若 test -d 成功而 findmnt -T 没有独立挂载，说明它可能只是目标根目录下的普通目录；若目录存在但 ls 返回 Permission denied，问题更接近权限、用户映射或目录执行权限，而不是 mount namespace。

把路径、根目录和权限问题分开

mount namespace 只描述挂载层次，进程的根目录、当前工作目录和用户权限还会继续影响最终路径。宿主机可以通过 /proc/PID/root 观察目标进程根目录下的文件，但它不应替代 nsenter -m：前者回答“目标根目录指向哪里”，后者回答“同一挂载视图中路径如何解析”。

如果问题与挂载传播有关，再查看目标命名空间的 mountinfo 可选字段，例如 shared:、master: 或 propagate_from:。这些字段只能说明传播关系，不能证明某个目录一定已经在目标进程中可访问；最终仍要用目标视角的路径测试确认。

相关问题

只执行 ls /data 能证明进程能看到目录吗？

不能。命令如果仍在宿主机 namespace 中执行，只能证明宿主机视图可见；应先用 nsenter -t PID -m 切换挂载视图。

nsenter -m 后为什么 ps 看不到目标进程？

因为 -m 只切换 mount namespace，没有切换 PID namespace。这个行为不影响检查挂载和目录，但不要据此判断目标进程不存在。

mountinfo 没有目录记录，是不是目录一定不存在？

不是。普通目录可能没有独立挂载记录；请在目标挂载视图中执行 test -d 或 stat，再结合目标根目录判断。