登录服务器第一件事，上查往往就是找文找文件。配置文件在哪、上查日志滚到哪去了、找文上次部署的上查脚本扔哪个目录了——找不到就只能干瞪眼。Linux 下查找文件，找文最常用的上查就那几个命令，但用对了能省你半小时。找文

find 是上查绕不开的。它从指定目录开始递归往下翻，找文按名字、上查大小、找文时间、上查权限各种条件筛。找文举个最常见的上查场景：你知道有个叫 nginx.conf 的文件，但不确定在 /etc 还是 /usr/local，直接来一发：

find / -name "nginx.conf" 2>/dev/null

那个 2>/dev/null 是干嘛的？不加的话，权限不够的目录会疯狂往你屏幕上吐 “Permission denied”，几百行刷过去，真正有用的结果被淹了。我第一次用 find 没加这个，翻了半天才看到要找的文件夹在报错中间。

按名字找是最基础的。但 find 真正好用的地方在于组合条件。比如你要找 /var/log 下 7 天前修改过、且大于 100M 的日志文件：

find /var/log -type f -mtime +7 -size +100M

-type f 限定只找普通文件，不然目录也会被列出来。-mtime +7 表示修改时间在 7 天以前，-size +100M 就是大于 100 兆。这三个条件叠在一起，比你在 ls 输出里肉眼扫快得多。

还有个小细节：-name 对大小写敏感，-iname 才忽略大小写。有次我找 Dockerfile，写的是 -name "dockerfile"，死活搜不出来，换成 -iname 立马就有了。

find 的缺点是慢。它真的会一个目录一个目录去遍历，根目录下跑一遍，等个几十秒很正常。如果你知道文件名，只是不知道路径，locate 快得多。

locate 查的是一个预建的数据库，通常在 /var/lib/mlocate/mlocate.db。查找基本是瞬间完成：

locate nginx.conf

但它的坑在于，数据库不是实时更新的。你刚创建的文件，locate 可能找不到。手动更新数据库用 updatedb，不过在很多系统上这命令需要 root 权限，而且全盘扫描一次也不快。所以我的习惯是：刚改过的文件用 find，找老文件用 locate。

另一个经常被忽略的是 which 和 whereis。这俩不搜整个文件系统，只找可执行文件。which python3 告诉你当前 PATH 里用的是哪个 python3，whereis 还能顺便列出 man page 和源码位置。排查环境问题时特别管用——比如你明明装了新版本，跑起来还是旧的，which -a python3 把所有匹配的路径都列出来，一眼就能看出 PATH 哪里配歪了。

如果你要找的是文件内容而不是文件名，那就得请出 grep。比如你记得某个配置文件里写了 max_connections，但忘了在哪个文件：

grep -r "max_connections" /etc/

-r 是递归搜索。-l 只输出文件名，不打印匹配行，结果更清爽。-i 忽略大小写。-n 显示行号。这几个参数搭着用，定位配置项很快。

实际干活的时候，这些命令往往是串起来的。比如先 locate 缩小范围，再用 grep 在候选文件里精确定位。或者 find 配合 -exec 直接对找到的文件做操作：

find /tmp -name "*.log" -mtime +30 -exec rm { } \;

一行搞定清理 30 天前的日志。不过 -exec 要小心，删之前最好先把 -exec rm 换成 -print 确认一遍，不然手一抖就没了。

说到底，找文件这件事没有万能命令。知道文件大概在哪、什么时候改的、名字记得多少，决定了你该用哪个工具。我自己的习惯是：能 locate 就 locate，不行再 find，找内容上 grep。三个命令覆盖了九成以上的场景。