摘要：在日常运维、系统管理和安全排查中，我们经常需要查找特定时间范围内被修改、访问或属性变更的文件。Linux 提供了强大的文件时间戳机制：atime、mtime 和 ctime，再配合 find 命令中的 amin、mmin、cmin 等选项，我们就可以精准、高效
在日常运维、系统管理和安全排查中，我们经常需要查找特定时间范围内被修改、访问或属性变更的文件。Linux 提供了强大的文件时间戳机制：atime、mtime 和 ctime，再配合 find 命令中的 amin、mmin、cmin 等选项，我们就可以精准、高效地筛选出目标文件。
本文将从原理到实战，深入讲解这些时间戳的含义、区别、用途，并通过多个实用场景演示如何借助它们快速定位关键文件。
时间戳英文全称触发条件atimeAccess Time文件被「读取」时更新mtimeModify Time文件内容被「修改」时更新atime 表示最近一次访问（读取）文件的时间，比如使用 cat、less、grep 等读取操作都会更新该值。
cat mylog.txt这个命令执行后，mylog.txt 的 atime 会变为当前时间。
mtime 表示最近一次修改文件内容的时间。如果你使用编辑器更改文件内容或用 echo >> 附加内容，这个值就会更新。
echo "append something" >> mylog.txt这会修改 mtime，但不会影响 ctime 或 atime（除非内容被读取）。
ctime 是最容易误解的，它指的是文件元数据的变化时间。比如更改权限、属主、移动位置、软/硬链接等。
chmod 644 mylog.txt这并不会修改内容，但会更新 ctime，表示属性发生变更。
stat mylog.txt输出类似：
Access: 2025-05-26 11:12:00.000000000 +0800Modify: 2025-05-25 22:03:14.000000000 +0800Change: 2025-05-25 22:03:14.000000000 +0800或者用 ls -lu（查看 atime）、ls -l（查看 mtime）、ls -lc（查看 ctime）：
ls -lu mylog.txt # 显示 Access Timels -lc mylog.txt # 显示 Change Time选项含义时间单位-atime文件在「几天前」被访问过天「注意」：find 的时间单位：
你可以将时间查找与执行操作结合，如清理临时文件、备份、输出详情等。
许多 Linux 系统默认挂载文件系统时使用 noatime 或 relatime 参数，以提升磁盘性能。这可能导致 atime 不被更新或只在一定条件下更新。
cat /etc/fstab查看挂载选项是否有 noatime 或 relatime。
在根 / 下递归查找极易引发性能瓶颈，建议精确路径或结合 -maxdepth 控制查找深度。
find / -type f -mtime -1 -maxdepth 3touch -t 202505250101.01 mylog.txt修改为 2025-05-25 01:01:01。
strace find . -type f -mmin -1可以看到系统调用细节，理解文件时间戳是如何获取的。
理解并灵活使用 atime、mtime、ctime，配合 find 命令的 amin、mmin、cmin 参数，能够极大提升文件管理效率，尤其适用于日志分析、安全审计、系统维护等场景。
「推荐组合命令回顾：」
# 查找最近1小时内内容被修改的 .conf 文件find /etc -name "*.conf" -mmin -60# 查找属性最近30分钟内有变动的文件find /var/log -type f -cmin -30# 删除超过2天未被访问的临时文件find /tmp -type f -atime +2 -exec rm -f {} \;学会使用这些命令，Linux 文件系统的“时间旅行”能力将掌握在你手中！
来源：wljslmz一点号