主要区别
1.lsof（慢的原因）
- 遍历进程信息：
lsof需要遍历/proc文件系统下的所有进程目录，检查每个进程的文件描述符 - 解析大量文件：需要读取
/proc/[pid]/fd/*、/proc/[pid]/maps等文件 - 获取详细信息：为了显示进程名、用户等信息，需要读取更多进程元数据
- 单进程运行：通常是单线程遍历所有进程
2.ss -tuln（快的原因）
- 直接访问内核数据结构：通过 netlink 接口直接从内核获取 socket 信息
- 批量获取：一次性获取所有网络连接信息，而不是逐个进程查询
- 内核优化：网络栈在内核中是高度优化的数据结构
- 只关注网络：专注于网络连接，不涉及其他文件类型
具体技术对比
# lsof 的工作流程（简化）1. 遍历 /proc/*/fd 目录2. 对每个进程，读取 fd 符号链接3. 解析 socket:[inode]格式4. 去其他数据结构匹配 inode5. 收集并格式化输出# ss 的工作流程（简化）1. 通过 netlink 发送查询请求2. 内核批量返回 socket 列表3. 直接格式化输出性能对比数据
# 在典型系统上测试$timess -tuln>/dev/null real 0m0.008s $timelsof-i -n>/dev/null real 0m0.350s# 慢40倍以上！使用场景建议
使用 ss：
- 仅需要查看网络连接时
- 需要快速查看端口占用
- 在脚本或自动化工具中使用
- 需要实时监控网络状态
使用 lsof：
- 需要知道哪个进程占用了端口
- 需要查看进程打开的所有文件（包括网络、普通文件、管道等）
- 调试特定进程的资源使用情况
- 需要更详细的信息（用户、进程名、命令行等）
实际例子
# 快速查看监听端口 - 用 ssss -tuln|grepLISTEN# 找出谁占用了80端口 - 用 lsof 更合适lsof-i:80# 或者用 ss + lsof 组合PORT=80ss -tulp|grep:$PORT# 或者直接用 ss 的 -p 选项（部分系统支持）ss -tulnp|grep:$PORT总结
ss快是因为它走专用通道直接访问内核的网络数据结构，而lsof慢是因为它需要遍历整个进程空间并解析大量文件。如果你的需求只是查看网络连接状态，总是优先使用ss；如果需要进程级的详细信息，才使用lsof。
