Linux find命令 与 atime、mtime和ctime

　　

一、含义

　　atime  : 它代表着最近一次访问文件的时间，显示一个文件的内容或者运行一个shell脚本会更新文件的atime。可用ls -lu命令查看。有一个要注意的就是，在kernel版本2.6.30之前，linux的核心开发人员针对Ext3/Ext4文件系统的性能进行了讨论，其中包括atime。在kernel 2.6.30之前，文件系统中默认会及时的更新atime，而在此之后的版本里，只有发生以下三种情况之一才会更新atime。

　　1、将分区mount的挂载的时候指定采用非relatime方式

　　2、atime小于ctime或者小于mtime的时候

　　3、本次的access time和上次的atime超过24个小时

 

　　mtime : 它代表着最近一次文件内容被修改的时间。可用ls -l 命令查看。

　　ctime  : 它代表着最近一次文件状态改变的时间 ,是status change time，是在写入文件、更改所有者、权限或链接设置时随 Inode 的内容更改而更改，即文件状态最后一次被改变的时间。可用ls -lc 命令查看。

 

二、ctime和mtime区别

　　我们对文件的内容进行了更改，那它的mtime已经改变，所以ctime也就会改变咯。也就是说只要mtime改变，ctime就一定会改变。那怎样使得ctime改变而其他不变呢？我们可以通过改变文件的权限、用户、所属组等来实现。下面举例：

　　先创建一个一个文件，执行stat命令

　　

　　可以看到，ctime和mtime是相同的，执行如下命令

　　

　　所以ctime更多的是指文件本身的状态发生的变动，mtime变动，ctime也会变动，而ctime变动，mtime不一定会变。

 

三、查看指定时间的文件

　　当然，我们既然可以查看当前的atime、mtime、ctime，那肯定也可以查看几天前或者几天之内被改过或者访问过的文件。Linux为我们提供了一个简便的查询方式，那就是 +n 和 -n。下面以 -mtime 举例说明：

　　-mtime n : n为数字，意思为在n天之前的“一天之内”被更改过内容的文件

　　-mtime +n : 列出在n天之前（不含n天本身）被更改过内容的文件名

　　-mtime -n : 列出在n天之内（含n天本身）被更改过内容的文件名

　　例如：将系统24小时内更改过内容的档案列出 。

  　 find / -mtime 0

　　那么，找 “5天之内被更改过的档案名” 就是   find / -mtime -5 ，找“5天前的那一天被更改过的档案名” 就是   find / -mtime 5 ，找“5天之前被更改过的档案名” 就是   find / -mtime +5。我们可以看出有没有 “+，-”的差别是很大的。下面用图来说明一下：

　　

　　由这个时光轴我们可以知道，最右边为当前时，+5 代表大于等于 6 天前的档案名， -5 代表小于等于 5 天内的档案名，5 则是代表 5-6 那一天的档案名。