Linux 维护时段改动了哪些文件：用 find 按明确时间边界生成清单

Linux 维护时段改动了哪些文件：用 find 按明确时间边界生成清单教程示意图

适用场景

部署或维护结束后，你可能需要回答一个具体问题：指定目录中，某个时间段内有哪些普通文件的修改时间发生变化？本文使用 GNU find 生成候选文件清单，适合 Ubuntu、Debian 等安装 GNU Findutils 的 Linux 系统。

这份清单可以缩小配置核查范围，但不能证明是谁修改了文件，也不能列出已经删除的文件。它依据当前文件系统记录查询，不是完整的操作审计。教程先在独立目录建立边界样本，再把相同方法用于真实目录。

原理：明确时间类型和边界

文件的修改时间通常表示内容最后修改的时间。它与访问时间、元数据变更时间不同，元数据变更时间也不等于文件创建时间。复制程序、恢复程序或手工调整时间都可能影响最终记录，因此时间命中只表示值得进一步检查。

GNU find 的时间比较使用严格大于关系。下面组合两个条件，得到“晚于开始时间，且不晚于结束时间”的范围，也就是开始时刻不包含、结束时刻包含。GNU 的时间比较说明明确指出，时间相等时，较新判断为假。

准备工作

准备 Bash 终端，以及当前用户可以读取的练习位置。示例采用协调世界时 UTC，时间窗口是 2026 年 11 月 1 日九点至十点。真实排查时应替换为维护记录对应的日期和时区，不能把北京时间直接当作 UTC 输入。

先确认命令版本和终端显示时间：

find --version
date -u '+%Y-%m-%d %H:%M:%S UTC'

版本输出应标明 GNU find。其他实现可能没有相同参数。本文没有要求修改系统时间，也不需要管理员权限。

分步骤操作

第一步：建立独立样本

lab_dir=$(mktemp -d)
touch "$lab_dir/before.txt" "$lab_dir/start.txt" "$lab_dir/middle.txt" "$lab_dir/end.txt"
TZ=UTC0 touch -d '2026-11-01 08:59:59' "$lab_dir/before.txt"
TZ=UTC0 touch -d '2026-11-01 09:00:00' "$lab_dir/start.txt"
TZ=UTC0 touch -d '2026-11-01 09:30:00' "$lab_dir/middle.txt"
TZ=UTC0 touch -d '2026-11-01 10:00:00' "$lab_dir/end.txt"
printf '练习目录：%s\n' "$lab_dir"

变量 lab_dir 保存新建目录的实际路径，不需要手工替换。四个文件分别处于窗口之前、开始边界、窗口中间和结束边界。调整的只是这些新建样本，不应把同样的调整时间命令用于业务文件。

第二步：运行时间筛选

TZ=UTC0 find "$lab_dir" -maxdepth 1 -type f \
  -newermt '2026-11-01 09:00:00' \
  ! -newermt '2026-11-01 10:00:00' \
  -printf '%f\n'

普通文件条件排除目录；最大深度限制本次只查看样本目录这一层。第一个时间条件要求修改时间严格晚于九点，感叹号对第二个条件取反，排除严格晚于十点的文件。参数之间默认按同时满足处理。

第三步：对照预期结果

预期命中的文件是 middle.txt 和 end.txt，显示顺序没有保证。start.txt 恰好等于开始时间，因此不会出现；end.txt 恰好等于结束时间，因此保留。先理解这个结果，再决定真实维护记录是否适合相同边界定义。

如果你的工作流程要求开始时刻也包含，应另行制定并验证包含边界的查询方式，不要把当前结果描述为两端都包含。连续时间窗口采用一致规则，能够减少交界处记录被重复计算的问题。

第四步：生成真实目录的候选清单

read -r -p '输入要检查的目录绝对路径：' target_dir
TZ=UTC0 find "$target_dir" -type f \
  -newermt '2026-11-01 09:00:00' \
  ! -newermt '2026-11-01 10:00:00' \
  -printf '%T+\t%p\n'

target_dir 应输入已获准检查的真实目录。这里去掉深度限制，以便递归检查子目录，并同时显示修改时间和路径。运行前还要把两处示例时间改成实际窗口。默认不跟随遇到的符号链接，避免无意扩展搜索范围。