彻底搞明白find命令mtime含义和用法

【引言】​

大家知道，在写shell脚本时，经常会crontab定时删除一些文件，会经常用到 find 命令的-mtime参数，之前只是在用，没具体理解，今天集中时间学习下。

Linux里面一切皆文件，想了解文件状态时间，就得熟悉 find命令中的-atime, -ctime，-mtime这三个参数，其中-mtime用的更多。

使用命令stat先看下文件或者目录的信息：

[root@localhost products]# stat oracle19c/

  File: ‘oracle19c/’

  Size: 4096            Blocks: 8          IO Block: 4096   directory

Device: fd02h/64770d    Inode: 37224449    Links: 68

Access: (0755/drwxr-xr-x)  Uid: (    0/    root)   Gid: (    0/    root)

Context: unconfined_u:object_r:unlabeled_t:s0

Access: 2020-06-30 13:46:49.819926683 +0800

Modify: 2020-06-30 11:12:17.099937512 +0800

Change: 2020-06-30 11:12:17.099937512 +0800

 Birth: -

可以看到，关于时间信息有三个：最近访问时间 access time （-atime）、最近更改时间modify time（-mtime）和 最近状态改动时间 change time（-ctime）；但也看到了Birth创建时间一项为空，说明Linux系统下是无法查看文件的创建时间的。

先看下man find中的解释，大家直接看英文，这里不过多解释

-atime n

File  was  last  accessed  n*24 hours ago.  When find figures out how many 24-hour periods ago the file was last accessed, any fractional part is ignored, so to match -atime +1, a file has to  have been accessed at least two days ago.

-ctime n

File's status was last changed n*24 hours ago.  See the comments for -atime to understand how rounding affects the interpretation of file status change times.

-mtime n

File’s data was last modified n*24 hours ago.See the  comments  for  -atime  to  understand  how rounding affects the interpretation of file modification times.

解释-atime, -ctime 和 -mtime参数含义：

atime: 代表最近一次访问文件的时间，显示一个文件的内容或者运行一个shell脚本会更新文件的atime。可用ls -lu命令查看。在kernel 2.6.30之前，文件系统默认会及时的更新atime；此后版本，只有发生以下三种情况之一才会更新atime。

1. 将分区mount的挂载的时候指定采用非relatime方式

2. atime小于ctime或者小于mtime的时候

3. 本次的access time和上次的atime超过24个小时

mtime: 代表最近一次文件内容被修改的时间。可用ls -l 命令查看。

ctime: 代表最近一次文件状态的改变时间，是status change time，在写入文件、更改所有者、权限或链接设置时随 Inode 的内容更改而更改，文件状态最后一次被改变的时间。可用ls -lc 命令查看。

在unix或linux环境中经常会用到find -mtime来找某时间点之前的文件，并在此基础上进行处理（如定期删除过期文件）；

如何更好的理解find -mtime +N/-N/N，这里小结下：

-mtime n : n为数字，意思为在n天之前的“一天之内”被更改过内容的文件

-mtime +n : 列出在n天之前（不含n天本身）被更改过内容的文件名

-mtime -n : 列出在n天之内（含n天本身）被更改过内容的文件名

举个栗子：find $HOME -mtime 0

Search  for  files  in  your home directory which have been modified in the last twenty-four hours.  This command works this way because the time since each file was last modified is divided by 24 hours and  any remainder  is  discarded.   That means that to match -mtime 0, a file will have to have a modification in the past which is less than 24 hours ago.

将根目录下24小时内更改过内容的文件列出：

find / -mtime 0

场景举例：

找“5天之内被更改过的档案名”find / -mtime -5 ；

找“5天前的那一天被更改过的档案名”find / -mtime 5 ；

找“5天之前被更改过的档案名”find / -mtime +5。

下图来表现更直观，以便理解记忆。

由以上时间轴可以看出，最右边为当前时，+5 代表大于等于 6 天前的档案名， -5 代表小于等于 5 天内的档案名，5 则是代表 5-6 那一天的档案名。

【参考】

http://hi.baidu.com/ljm0211/item/d46591307a4985b9623aff33

【参考】

https://www.cnblogs.com/qiaopei/p/5515189.html

以下为个人公众号“一森咖记”，欢迎关注。