ps —— 看进程

ps aux                            # BSD 风格（无前导 -）
ps -ef                            # SysV 风格（带 -）
ps -A                             # POSIX

ps aux --sort=-%cpu | head                # CPU 占用 top 10
ps aux --sort=-%mem | head                # 内存占用 top 10
ps aux --sort=-rss | head                  # 按 RSS 真实内存排
ps aux --sort=-time | head                 # 累计 CPU 时间最长（运行时间最久的工作进程）

ssh m4 'ps aux --sort=-%cpu | head -20'
# 看 COMMAND 列，配合 crictl ps 找到对应容器

ps -eo pid,user,%cpu,%mem,rss,comm --sort=-%cpu | head
# PID  USER  %CPU %MEM   RSS  COMMAND
# 1234 root   5.2  1.0  8000  nginx

ps -eo pid,etime,user,%cpu,%mem,cgroup,args --sort=-%mem | head
# 看 cgroup 列能直接看出"这个进程属于哪个 K8s pod"
# cgroup 名形如 /kubepods/burstable/pod-xxx/abc...

ps auxf                            # f = forest
# 用缩进显示父子关系

pstree                             # 更直观的树
pstree -p                          # 加 PID
pstree -p 1234                      # 看 PID 1234 的子树

$ ps aux | grep nginx
root  1234  ...  nginx: master
root  1235  ...  nginx: worker
root  5678  ...  grep --color=auto nginx       ← grep 自己也被匹配

ps aux | grep "[n]ginx"            # 模式 [n]ginx 实际匹配 nginx
                                   # 但 ps 里 grep 的命令行是 grep [n]ginx，不匹配

pgrep nginx                        # 只输出 PID
pgrep -a nginx                      # 输出 PID + 命令行
pgrep -u root nginx                 # 限定 user
pgrep -P 1234                       # 按 PPID 找（找子进程）

pkill nginx                         # 杀
pkill -9 nginx                      # SIGKILL
pkill -u alice                      # 杀某用户所有进程（小心）

pidof nginx
# 1234 1235

ls /proc/1234/
# cmdline cwd environ exe fd/ limits maps mountinfo ns/ root status ...

cat /proc/1234/cmdline | tr '\0' ' '         # 完整命令行（参数用 \0 分隔，转空格）
cat /proc/1234/status                         # 详细状态（含线程数 / 内存 / capabilities）
cat /proc/1234/limits                         # ulimit
cat /proc/1234/cgroup                         # 所属 cgroup
ls /proc/1234/fd/                             # 打开的所有文件描述符
readlink /proc/1234/exe                       # 可执行文件路径
readlink /proc/1234/cwd                       # 当前工作目录
ls /proc/1234/ns/                             # namespace

# 找 pod 容器的 PID
PID=$(crictl inspect $(crictl ps -q --name my-pod) | jq '.info.pid')

# 看它的 cgroup
cat /proc/$PID/cgroup
# 12:cpuset:/kubepods/burstable/pod-xxx/...

# 看它的 namespaces
ls -l /proc/$PID/ns/
# 跟节点 root 的 /proc/1/ns/ 比，能看出哪些 ns 隔离了

ps -eLf | grep java                # -L 显示线程
ps -eo pid,nlwp,comm | sort -k2 -rn | head    # 按线程数排序

ps -T -p 1234                      # 看进程 1234 的所有线程
# PID  SPID  TTY  TIME  CMD
# 1234 1234  ...  java
# 1234 1235  ...  java
# 1234 1236  ...  java

top -H -p 1234                     # top 的线程模式
# 看到 TID 烧 CPU，转 16 进制 → jstack 里查

# 1. 看全部进程
ps aux
ps -ef
ps -A
ps -e

# 2. 看自己的进程
ps                                 # 默认只看当前 shell 的
ps x                               # 看自己所有

# 3. 按 PID
ps -p 1234,5678                    # 多个 PID
ps -p 1234 -o pid,user,cmd

# 4. 按 user
ps -u nginx                        # 按 effective user
ps -U nginx                        # 按 real user

# 5. 按 cgroup（K8s 视角）
ps -eo pid,cgroup,cmd | grep kube-system
# 找 kube-system pod 的进程

top                                # 大致看到哪个进程
# 但是 top 切到的话用 ps:
ps aux --sort=-%cpu | head -10
# 拿到 PID

# 进一步
top -H -p <PID>                    # 看是哪个线程
cat /proc/<PID>/cgroup             # 确定哪个 K8s pod

ps -eo pid,rss,cgroup,comm --sort=-rss | head -20
# RSS 是 KB，要 MB 自己 / 1024

# 或者更整洁
ps -eo pid,rss,comm --sort=-rss | awk '$2 > 100000 {printf "%-8s %8d MB  %s\n", $1, $2/1024, $3}' | head

ps aux | awk '$8 ~ /Z/'           # STAT 列含 Z
# 或者
ps -eo stat,pid,ppid,cmd | awk '$1 ~ /Z/'

PID=12345
cat /proc/$PID/cgroup
# 12:cpu,cpuacct:/kubepods/burstable/pod-d4e6a7-...

# 提取 pod UID 反查 K8s
POD_UID=$(grep -oE 'pod[a-f0-9-]+' /proc/$PID/cgroup | head -1 | sed 's/pod//;s/_/-/g')
kubectl get pods -A -o jsonpath='{range .items[*]}{.metadata.uid} {.metadata.namespace}/{.metadata.name}{"\n"}{end}' \
  | grep $POD_UID

ps -eo pid,etime,cmd --sort=-etime | head
# etime 显示进程运行了多久（[[DD-]hh:]mm:ss）

# 跑了多久的 sshd？
ps -eo pid,lstart,cmd | grep sshd
# 看 lstart 列得到精确启动时间戳

ps aux | grep my-app
# %CPU 显示 50%

ps -eo pid,rss,comm | head
# 没 PSS

cat /proc/<PID>/smaps_rollup | grep -E 'Pss|Rss|Uss'
# Rss:              50000 kB
# Pss:              30000 kB           ← 这才是"按比例分摊的实际占用"

ps aux | grep python
# python ...
# 后面参数被截掉，看不出哪个 python 进程

ps auxw                            # 不截断
ps auxww                           # 完全不截断
ps -eo pid,args                    # args 列默认不截断

ps -eo pid,user,cmd
# 1234 1000      python   ← UID 没解析成名字

ps -eo pid,user:20,cmd     # user 列展宽

ps -ef | grep nginx
# ... grep --color=auto nginx     ← 自己

kill -9 1234
# 进程还在
ps aux | grep 1234
# STAT 还是 D

cat /proc/1234/wchan         # 看在等什么内核函数
# nfs_wait_on_request         ← NFS 卡了
# io_schedule                 ← 磁盘 I/O

ps aux            # Ubuntu 上 PID 4 位、CentOS 上 6 位

ps aux | awk '{print $2, $11}'    # 第 2 字段 PID、第 11+ 字段 COMMAND

ps -eo pid,comm,args
# 或者用 ps -o 显式指定列