我们平时IT运维时，常常会需要去查看Linux系统下文件的一些时间属性，比如查看一个应用的配置文件的修改时间，用于初步判断该文件是否有被篡改过。那么本文就针对Linux系统下的文件的时间属性来做一个介绍。

Linux文件时间属性

在Linux系统下，文件的时间属性主要分为三种：访问时间atime、修改时间mtime、状态改动时间ctime。

我们新建一个“test”文件并写入一些内容，然后可通过stat命令查看文件的三个时间，刚创建，能够发现这三个时间是一样的。

atime

atime是Access Time的简写，显示的是文件中的数据最后被访问的时间，读一次这个文件的内容，这个时间就会更新，例如我们使用cat、more、less等命令查看文件的内容时，文件的访问时间就会被更新。

mtime

mtime是Modify Time的简写，显示的是文件的内容被改变时的最后时间，例如我们用echo、vi等指令向文件写数据这个时间就会改变，“ls -l”命令列出的时间就是这个时间。

ctime

ctime是Change Time的简写，显示的是文件的大小、内容、权限、拥有者、所属的组、链接数等发生改变时的时间，当文件的这些属性被改变是就会更改这个时间，通过chmod、chown命令修改一次文件属性，这个时间就会更新。

文件创建时间

很多人误将linux系统上文件的ctime 对标成windows系统上的创建时间，这是不对的，ctime里的字母c是change的缩写而非create的缩写。在Linux下没有创建时间的概念，也就是不能够知道文件的建立时间，关于linux系统上为什么不记录文件的创建时间，有很多的讨论，有人认为文件的创建时间对于大多数人来说是无用的，可以用其他来代替：

• 如果文件建立后就没有修改过，建立时间=修改时间，即最后一次write时间；
• 如果文件建立后状态就没有改动过，建立时间=状态改动时间，即最后一次使用chmod的时间；
• 如果文件建立后没有被读取过，建立时间=访问时间，即最后一个read的时间。

其实因为不好判断文件是否被改过、读过、其状态是否变过，所以判断文件的建立时间基本上为不大可能。但是如果你的Linux文件系统的格式是ext4，文件创建时间是会存储在ext4文件系统的inode中，所以 ext4 文件系统使用特殊方法还是可以获取文件的创建时间的。

1.通过“df -T”命令查看Linux文件系统是否为ext4格式，并且查看文件所在磁盘路径。

2.通过“ls -i”命令获取到文件的inode值，当然stat命令也可以查看到。

3.通过“debugfs -R ‘stat <inode号>’ 磁盘路径”命令便可查看文件创建时间cttime。

Find命令利用时间属性常见操作

Linux系统中find命令用来在指定目录下查找文件，那么我们就可以利用这三个时间属性做一些日常运维操作。

例如我们需要将指定目录下所有最近20天内有更新过的文件都列出来。

find /data -ctime -20

查找指定目录下所有更改时间在7天以前并以log结尾的大于1M的文件。

find /data -type f -name "*.log" -mtime +7 -size +1M

通过find命令将这些文件查找出来后，再可以结合xargs或者exec命令做进一步的操作，比如想把上述查找出来的文件删掉。

find /data -type f -name "*.log" -mtime +7 -size +1M | xargs rm -f

或

find /data -type f -name "*.log" -mtime +7 -size +1M -exec rm -f {} \;

将上述查找出来的文件移动到指定目录下。

find /data -type f -name "*.log" -mtime +7 -size +1M -exec mv {} /tmp/ \;

以上就是关于Linux系统文件时间属性的一些介绍了，如有问题欢迎一起学习交流咯~