inotify原理与应用
2010-11-24 10:15:45 
阿炯
inotify系Linux 2.6 内核中的文件系统变化通知机制。
简介：本文详细地介绍了在 Linux 2.6.13 内核中新引入的文件系统变化通知机制 inotify，并举例说明了它的使用与典型应用案例。Inotify 是文件系统事件监控机制，计划包含在即将发布的 Linux 内核中作为 dnotify 的有效替代。dnotify 是较早内核支持的文件监控机制。Inotify一种强大的、细粒度的、异步的机制，它满足各种各样的文件监控需要，不仅限于安全和性能。下面让我们一起学习如何安装 inotify 和如何构建一个示例用户空间应用程序来响应文件系统事件。
文件系统事件监控对于从文件管理器到安全工具的各种程序都是必要的，但是dnotify（早期内核中的标准）存在一些局限性，这使期待出现一种更加完善的机制。inotify 是一种更加现代化的文件系统事件监控替代品。
一、 引言
众所周知，Linux 桌面系统与 MAC 或 Windows 相比有许多不如人意的地方，为了改善这种状况，开源社区提出用户态需要内核提供一些机制，以便用户态能够及时地得知内核或底层硬件设备发生了什么，从而能够更好地管理设备，给用户提供更好的服务，如 hotplug、udev 和 inotify 就是这种需求催生的。Hotplug 是一种内核向用户态应用通报关于热插拔设备一些事件发生的机制，桌面系统能够利用它对设备进行有效的管理，udev 动态地维护 /dev 下的设备文件，inotify 是一种文件系统的变化通知机制，如文件增加、删除等事件可以立刻让用户态得知，该机制是著名的桌面搜索引擎项目 beagle 引入的，并在 Gamin 等项目中被应用。
使用 inotify 取代 dnotify 的原因有很多。第一个原因是 dnotify 需要您为每个打算监控是否发生改变的目录打开一个文件描述符。当同时监控多个目录时，这会消耗大量的资源，因为有可能达到每个进程的文件描述符限制。
除此之外，文件描述符会锁定目录，不允许卸载（unmount）支持的设备，这在存在可移动介质的环境中会引发问题。在使用 inotify 时，如果正在监控被卸载的文件系统上的文件，那么监控会被自动移除并且您会接收到一个卸载事件。
dnotify 不如 inotify 的第二个原因是 dnotify 有点复杂。注意，使用 dnotify 基础设施的简单文件系统监控粒度只停留于目录级别。为了使用 dnotify 进行更细粒度的监控，应用程序编程人员必须为每个受监控的目录保留一个 stat 结构的缓存。该用户空间的 stat 结构缓存需要用来明确确定当接收到通知信号时目录发生了什么变化。当获得通知信号时，生成 stat 结构列表并与最新的状态相比较。显而易见，这种技术是不理想的。
inotify 的另一个优点是它使用文件描述符作为基本接口，使应用程序开发者使用 select 和 poll 来监控设备。这允许有效的多路 I/O 和与 Glib 的 mainloop 的集成。相反，dnotify 所使用的信号常常使程序员头疼并且感觉不太优雅。inotify 通过提供一个更优雅的 API 解决了这些问题，该 API 使用最少的文件描述符，并确保更细粒度的监控。与 inotify 的通信是通过设备节点提供的。基于以上原因，对于监控 Linux 2.6 平台上的文件，inotify 是最明智的选择。
事实上，在 inotify 之前已经存在一种类似的机制叫 dnotify，但是它存在许多缺陷：
1.对于想监视的每一个目录，用户都需要打开一个文件描述符，因此如果需要监视的目录较多，将导致打开许多文件描述符，特别是，如果被监视目录在移动介质上(如光盘和 USB 盘)，将导致无法 umount 这些文件系统，因为使用 dnotify 的应用打开的文件描述符在使用该文件系统。
2.dnotify 是基于目录的，它只能得到目录变化事件，当然在目录内的文件的变化会影响到其所在目录从而引发目录变化事件，但是要想通过目录事件来得知哪个文件变化，需要缓存许多 stat 结构的数据。
3.Dnotify 的接口非常不友好，它使用 signal。
Inotify 是为替代 dnotify 而设计的，它克服了 dnotify 的缺陷，提供了更好用的，简洁而强大的文件变化通知机制：
1.Inotify 不需要对被监视的目标打开文件描述符，而且如果被监视目标在可移动介质上，那么在 umount 该介质上的文件系统后，被监视目标对应的 watch 将被自动删除，并且会产生一个 umount 事件。
2.Inotify 既可以监视文件，也可以监视目录。
3.Inotify 使用系统调用而非 SIGIO 来通知文件系统事件。
4.Inotify 使用文件描述符作为接口，因而可以使用通常的文件 I/O 操作select 和 poll 来监视文件系统的变化。
Inotify 可以监视的文件系统事件包括：
* IN_ACCESS，即文件被访问
* IN_MODIFY，文件被 write
* IN_ATTRIB，文件属性被修改，如 chmod、chown、touch 等
* IN_CLOSE_WRITE，可写文件被 close
* IN_CLOSE_NOWRITE，不可写文件被 close
* IN_OPEN，文件被 open
* IN_MOVED_FROM，文件被移走,如 mv
* IN_MOVED_TO，文件被移来，如 mv、cp
* IN_CREATE，创建新文件
* IN_DELETE，文件被删除，如 rm
* IN_DELETE_SELF，自删除，即一个可执行文件在执行时删除自己
* IN_MOVE_SELF，自移动，即一个可执行文件在执行时移动自己
* IN_UNMOUNT，宿主文件系统被 umount
* IN_CLOSE，文件被关闭，等同于(IN_CLOSE_WRITE | IN_CLOSE_NOWRITE)
* IN_MOVE，文件被移动，等同于(IN_MOVED_FROM | IN_MOVED_TO)
注：上面所说的文件也包括目录。
二、用户接口
在用户态，inotify 通过三个系统调用和在返回的文件描述符上的文件 I/O 操作来使用，使用 inotify 的第一步是创建 inotify 实例：
int fd = inotify_init ();
每一个 inotify 实例对应一个独立的排序的队列。
文件系统的变化事件被称做 watches 的一个对象管理，每一个 watch 是一个二元组(目标，事件掩码)，目标可以是文件或目录，事件掩码表示应用希望关注的 inotify 事件，每一个位对应一个 inotify 事件。Watch 对象通过 watch描述符引用，watches 通过文件或目录的路径名来添加。目录 watches 将返回在该目录下的所有文件上面发生的事件。
下面函数用于添加一个 watch：
int wd = inotify_add_watch (fd, path, mask);
fd 是 inotify_init() 返回的文件描述符，path 是被监视的目标的路径名(即文件名或目录名)，mask 是事件掩码, 在头文件 linux/inotify.h 中定义了每一位代表的事件。可以使用同样的方式来修改事件掩码，即改变希望被通知的inotify 事件。Wd 是 watch 描述符。
下面的函数用于删除一个 watch：
int ret = inotify_rm_watch (fd, wd);
fd 是 inotify_init() 返回的文件描述符，wd 是 inotify_add_watch() 返回的 watch 描述符。Ret 是函数的返回值。
文件事件用一个 inotify_event 结构表示，它通过由 inotify_init() 返回的文件描述符使用通常文件读取函数 read 来获得。
struct inotify_event {
__s32 wd; /* watch descriptor */
__u32 mask; /* watch mask */
__u32 cookie; /* cookie to synchronize two events */
__u32 len; /* length (including nulls) of name */
char name[0]; /* stub for possible name */
};
结构中的 wd 为被监视目标的 watch 描述符，mask 为事件掩码，len 为 name字符串的长度，name 为被监视目标的路径名，该结构的 name 字段为一个桩，它只是为了用户方面引用文件名，文件名是变长的，它实际紧跟在该结构的后面，文件名将被 0 填充以使下一个事件结构能够 4 字节对齐。
注意：len 也把填充字节数统计在内。
通过 read 调用可以一次获得多个事件，只要提供的 buf 足够大。
size_t len = read (fd, buf, BUF_LEN);
buf 是一个 inotify_event 结构的数组指针，BUF_LEN 指定要读取的总长度，buf 大小至少要不小于 BUF_LEN，该调用返回的事件数取决于 BUF_LEN 以及事件中文件名的长度。Len 为实际读去的字节数，即获得的事件的总长度。
可以在函数 inotify_init() 返回的文件描述符 fd 上使用 select() 或poll(), 也可以在 fd 上使用 ioctl 命令 FIONREAD 来得到当前队列的长度。close(fd)将删除所有添加到 fd 中的 watch 并做必要的清理。
int inotify_init (void);
int inotify_add_watch (int fd, const char *path, __u32 mask);
int inotify_rm_watch (int fd, __u32 mask);
三、内核实现机理
在内核中，每一个 inotify 实例对应一个 inotify_device 结构：
struct inotify_device {
wait_queue_head_t wq; /* wait queue for i/o */
struct idr idr; /* idr mapping wd -> watch */
struct semaphore sem; /* protects this bad boy */
struct list_head events; /* list of queued events */
struct list_head watches; /* list of watches */
atomic_t count; /* reference count */
struct user_struct *user; /* user who opened this dev */
unsigned int queue_size; /* size of the queue (bytes) */
unsigned int event_count; /* number of pending events */
unsigned int max_events; /* maximum number of events */
u32 last_wd; /* the last wd allocated */
};
wq 是等待队列，被 read 调用阻塞的进程将挂在该等待队列上，idr 用于把 watch 描述符映射到对应的 inotify_watch，sem 用于同步对该结构的访问，events 为该 inotify 实例上发生的事件的列表，被该 inotify 实例监视的所有事件在发生后都将插入到这个列表，watches 是给 inotify 实例监视的 watch 列表，inotify_add_watch 将把新添加的 watch 插入到该列表，count 是引用计数，user 用于描述创建该 inotify 实例的用户，queue_size 表示该 inotify 实例的事件队列的字节数，event_count 是 events 列表的事件数，max_events 为最大允许的事件数，last_wd 是上次分配的 watch 描述符。
每一个 watch 对应一个 inotify_watch 结构：
struct inotify_watch {
struct list_head d_list; /* entry in inotify_device's list */
struct list_head i_list; /* entry in inode's list */
atomic_t count; /* reference count */
struct inotify_device *dev; /* associated device */
struct inode *inode; /* associated inode */
s32 wd; /* watch descriptor */
u32 mask; /* event mask for this watch */
};
d_list 指向所有 inotify_device 组成的列表的，i_list 指向所有被监视 inode 组成的列表，count 是引用计数，dev 指向该 watch 所在的 inotify 实例对应的 inotify_device 结构，inode 指向该 watch 要监视的 inode，wd 是分配给该 watch 的描述符，mask 是该 watch 的事件掩码，表示它对哪些文件系统事件感兴趣。
结构 inotify_device 在用户态调用 inotify_init() 时创建，当关闭 inotify_init()返回的文件描述符时将被释放。结构 inotify_watch 在用户态调用 inotify_add_watch()时创建，在用户态调用 inotify_rm_watch() 或 close(fd) 时被释放。
无论是目录还是文件，在内核中都对应一个 inode 结构，inotify 系统在 inode 结构中增加了两个字段：
#ifdef CONFIG_INOTIFY
struct list_head inotify_watches; /* watches on this inode */
struct semaphore inotify_sem; /* protects the watches list */
#endif
inotify_watches 是在被监视目标上的 watch 列表，每当用户调用 inotify_add_watch()时，内核就为添加的 watch 创建一个 inotify_watch 结构，并把它插入到被监视目标对应的 inode 的 inotify_watches 列表。inotify_sem 用于同步对 inotify_watches 列表的访问。当文件系统发生第一部分提到的事件之一时，相应的文件系统代码将显示调用fsnotify_* 来把相应的事件报告给 inotify 系统，其中*号就是相应的事件名，目前实现包括：
* fsnotify_move，文件从一个目录移动到另一个目录
* fsnotify_nameremove，文件从目录中删除
* fsnotify_inoderemove，自删除
* fsnotify_create，创建新文件
* fsnotify_mkdir，创建新目录
* fsnotify_access，文件被读
* fsnotify_modify，文件被写
* fsnotify_open，文件被打开
* fsnotify_close，文件被关闭
* fsnotify_xattr，文件的扩展属性被修改
* fsnotify_change，文件被修改或原数据被修改
有一个例外情况，就是 inotify_unmount_inodes，它会在文件系统被 umount 时调用来通知 umount 事件给 inotify 系统。
以上提到的通知函数最后都调用 inotify_inode_queue_event(inotify_unmount_inodes直接调用 inotify_dev_queue_event )，该函数首先判断对应的inode是否被监视，这通过查看 inotify_watches 列表是否为空来实现，如果发现 inode 没有被监视，什么也不做，立刻返回，反之，遍历 inotify_watches 列表，看是否当前的文件操作事件被某个 watch 监视，如果是，调用 inotify_dev_queue_event，否则，返回。函数inotify_dev_queue_event 首先判断该事件是否是上一个事件的重复，如果是就丢弃该事件并返回，否则，它判断是否 inotify 实例即 inotify_device 的事件队列是否溢出，如果溢出，产生一个溢出事件，否则产生一个当前的文件操作事件，这些事件通过kernel_event 构建，kernel_event 将创建一个 inotify_kernel_event 结构，然后把该结构插入到对应的 inotify_device 的 events 事件列表，然后唤醒等待在inotify_device 结构中的 wq 指向的等待队列。想监视文件系统事件的用户态进程在inotify 实例(即 inotify_init() 返回的文件描述符)上调用 read 时但没有事件时就挂在等待队列 wq 上。
四、使用示例
下面是一个使用 inotify 来监视文件系统事件的例子：
#include “linux/unistd.h”
#include “linux/inotify.h”
#include “errno.h”
_syscall0(int, inotify_init)
_syscall3(int, inotify_add_watch, int, fd, const char *, path, __u32, mask)
_syscall2(int, inotify_rm_watch, int, fd, __u32, mask)
char * monitored_files[] = {
"./tmp_file",
"./tmp_dir",
"/mnt/sda3/windows_file"
};
struct wd_name {
int wd;
char * name;
};
#define WD_NUM 3
struct wd_name wd_array[WD_NUM];
char * event_array[] = {
"File was accessed",
"File was modified",
"File attributes were changed",
"writtable file closed",
"Unwrittable file closed",
"File was opened",
"File was moved from X",
"File was moved to Y",
"Subfile was created",
"Subfile was deleted",
"Self was deleted",
"Self was moved",
"",
"Backing fs was unmounted",
"Event queued overflowed",
"File was ignored"
};
#define EVENT_NUM 16
#define MAX_BUF_SIZE 1024
int main(void){
int fd;
int wd;
char buffer[1024];
char * offset = NULL;
struct inotify_event * event;
int len, tmp_len;
char strbuf[16];
int i = 0;
fd = inotify_init();
if (fd < 0) {
printf("Fail to initialize inotify.\n");
exit(-1);
}
for (i=0; i<WD_NUM; i++) {
wd_array[i].name = monitored_files[i];
wd = inotify_add_watch(fd, wd_array[i].name, IN_ALL_EVENTS);
if (wd < 0) {
printf("Can't add watch for %s.\n", wd_array[i].name);
exit(-1);
}
wd_array[i].wd = wd;
}
while(len = read(fd, buffer, MAX_BUF_SIZE)) {
offset = buffer;
printf("Some event happens, len = %d.\n", len);
event = (struct inotify_event *)buffer;
while (((char *)event - buffer) < len) {
if (event->mask & IN_ISDIR) {
memcpy(strbuf, "Direcotory", 11);
}
else {
memcpy(strbuf, "File", 5);
}
printf("Object type: %s\n", strbuf);
for (i=0; i<WD_NUM; i++) {
if (event->wd != wd_array[i].wd) continue;
printf("Object name: %s\n", wd_array[i].name);
break;
}
printf("Event mask: %08X\n", event->mask);
for (i=0; i<EVENT_NUM; i++) {
if (event_array[i][0] == '\0') continue;
if (event->mask & (1<<i)) {
printf("Event: %s\n", event_array[i]);
}
}
tmp_len = sizeof(struct inotify_event) + event->len;
event = (struct inotify_event *)(offset + tmp_len);
offset += tmp_len;
}
}
}
该程序将监视发生在当前目录下的文件 tmp_file 与当前目录下的目录 tmp_dir 上的所有文件系统事件，同时它也将监视发生在文件 /mnt/sda3/windows_file 上的文件系统事件，注意，/mnt/sda3 是 SATA 硬盘分区 3 的挂接点。
细心的读者可能注意到，该程序首部使用 syscallN 来声明 inotify 系统调用，原因是这些系统调用是在最新的稳定内核 2.6.13 中引入的，glibc 并没有实现这些系统调用的库函数版本，因此为了能在程序中使用这些系统调用，必须通过 _syscallN 来声明这些新的系统，其中的 N 为要声明的系统调用实际的参数数。还有需要注意的地方是系统的头文件必须与被启动的内核匹配，为了让上面的程序能够成功编译，必须2.6.13 的内核头文件(包括 include/linux/*, include/asm/* 和 include/asm-generic/*)在头文件搜索路径内，并且是第一优先搜索的头文件路径，因为 _syscallN 需要用到这些头文件中的 linux/unistd.h 和 asm/unistd.h，它们包含了 inotify 的三个系统调用的系统调用号 __NR_inotify_init、__NR_inotify_add_watch 和 __NR_inotify_rm_watch。
因此，要想成功编译此程序，只要把用户编译好的内核的头文件拷贝到该程序所在的路径，并使用如下命令编译即可：
$gcc -o inotify_example -I. inotify_example.c
注意：当前目录下应当包含 linux、asm 和 asm-generic 三个已编译好的 2.6.13 内核的有文件目录，asm 是一个链接，因此拷贝 asm 头文件的时候需要拷贝 asm 与 asm-ARCH(对于 x86 平台应当是 asm-i386)。然后，为了运行该程序，需要在当前目录下创建文件 tmp_file 和目录 tmp_dir，对于/mnt/sda3/windows_file 文件，用户需要依自己的实际情况而定，可能是/mnt/dosc/windows_file，即 /mnt/dosc 是一个 FAT32 的 windows 硬盘，因此用户在编译该程序时需要根据自己的实际情况来修改 /mnt/sda3。Windows_file 是在被 mount 硬盘上创建的一个文件，为了运行该程序，它必须被创建。
以下是作者在 redhat 9.0 上运行此程序得到的一些结果：
当运行此程序的时候在另一个虚拟终端执行 cat ./tmp_file，此程序的输出为：
Some event happens, len = 48.
Object type: File
Object name: ./tmp_file
Event mask: 00000020
Event: File was opened
Object type: File
Object name: ./tmp_file
Event mask: 00000001
Event: File was accessed
Object type: File
Object name: ./tmp_file
Event mask: 00000010
Event: Unwrittable file closed
以上事件清楚地说明了 cat 指令执行了文件 open 和 close 操作，当然 open 和 close操作都属于 access 操作，任何对文件的操作都是 access 操作。
此外，运行 vi ./tmp_file，发现 vi实际在编辑文件时复制了一个副本，在未保存之前是对副本进行操作。运行 vi ./tmp_file, 修改并保存退出时，发现 vi 实际在保存修改时删除了最初的文件并把那个副本文件名更改为最初的文件的名称。注意，事件"File was ignored"表示系统把该文件对应的 watch 从 inotify 实例的 watch 列表中删除，因为文件已经被删除。读者可以自己分别执行命令：echo "abc" > ./tmp_file 、rm -f tmp_file、 ls tmp_dir、 cd tmp_dir;touch c.txt、 rm c.txt 、 umount /mnt/sda3(实际用户需要使用自己当时的 mount 点路径名)，然后分析一下结果。Umount 触发两个事件，一个表示文件已经被删除或不在存在，另一个表示该文件的 watch被从 watch 列表中删除。
现代inotify一例
#include <stdio.h>
#include <string.h>
#include <stdlib.h>
#include <unistd.h>
#include <errno.h>
#include <sys/inotify.h>
#define EVENT_NUM 12
const char *event_str[EVENT_NUM] = {
"IN_ACCESS",
"IN_MODIFY",
"IN_ATTRIB",
"IN_CLOSE_WRITE",
"IN_CLOSE_NOWRITE",
"IN_OPEN",
"IN_MOVED_FROM",
"IN_MOVED_TO",
"IN_CREATE",
"IN_DELETE",
"IN_DELETE_SELF",
"IN_MOVE_SELF"
};
int inotifyTask(char *argv[]){
int errTimes = 0;
int fd = -1;
INIT_INOTIFY:
fd = inotify_init();
if(fd < 0){
fprintf(stderr, "inotify_init failed\n");
printf("Error no.%d: %s\n", errno, strerror(errno));
goto INOTIFY_FAIL;
}
int wd1 = -1;
int wd2 = -1;
struct inotify_event *event;
int length;
int nread;
char buf[BUFSIZ];
int i = 0;
buf[sizeof(buf) - 1] = 0;
INOTIFY_AGAIN:
wd1 = inotify_add_watch(fd, argv[1], IN_ALL_EVENTS);
if(wd1 < 0){
fprintf(stderr, "inotify_add_watch %s failed\n", argv[1]);
printf("Error no.%d: %s\n", errno, strerror(errno));
if(errTimes < 3){
goto INOTIFY_AGAIN;
}
else
{
goto INOTIFY_FAIL;
}
}
wd2 = inotify_add_watch(fd, argv[2], IN_ALL_EVENTS);
if(wd2 < 0){
fprintf(stderr, "inotify_add_watch %s failed\n", argv[2]);
printf("Error no.%d: %s\n", errno, strerror(errno));
if(errTimes < 3){
goto INOTIFY_AGAIN;
}else{
goto INOTIFY_FAIL;
}
}
length = read(fd, buf, sizeof(buf) - 1);
nread = 0;
// inotify 事件发生时
while(length > 0){
printf("\n");
event = (struct inotify_event *)&buf[nread];
// 遍历所有事件
for(i = 0; i< EVENT_NUM; i++){
// 判断事件是否发生
if( (event->mask >> i) & 1 ){
// 该监控项为目录或目录下的文件时
if(event->len > 0){
fprintf(stdout, "%s --- %s\n", event->name, event_str[i]);
}
// 该监控项为文件时
else if(event->len == 0){
if(event->wd == wd1){
fprintf(stdout, "%s --- %s\n", argv[1], event_str[i]);
}
if(event->wd == wd2){
fprintf(stdout, "%s --- %s\n", argv[2], event_str[i]);
}
}
}
}
nread = nread + sizeof(struct inotify_event) + event->len;
length = length - sizeof(struct inotify_event) - event->len;
}
goto INOTIFY_AGAIN;
close(fd);
return 0;
INOTIFY_FAIL:
return -1;
}
int main(int argc, char *argv[]){
if(argc < 3){
fprintf(stderr, "Usage: %s path path\n", argv[0]);
return -1;
}
if(inotifyTask(argv) == -1){
return -1;
}
return 0;
}
编译命令：
gcc inotify.c -o freeoa_intotify
当不加任何参数执行时会提示信息，需要输入两个路径(文件名目录)用于监控。
五、典型应用
beagle 是 GNOME 的桌面搜索引擎项目，inotify 的引入就是完全受它的驱动而做的。对于桌面搜索引擎，它一般作为一个优先级很低的后台进程运行，只有在系统没有其他任务可运行时才被调度执行，桌面搜索引擎的主要用途就是为系统的文件系统的文件建立索引数据库，以便用户在需要某文件但又想不起存放在哪里时能够根据某些关键字或特征快速地搜索到需要的文件，就象使用网络搜索引擎 google 一样便捷。文件系统有个特点就是只有某些文件会变化，因此桌面搜索引擎在第一次建立完索引数据库后，没必要重复遍历所有的文件建立新的索引，它只需要更新修改了的文件的索引，建立新增加的文件的索引，删除已经删除的文件的索引就足够了，这样桌面搜索引擎需要做的工作就大大地减少。Inotify 就是为这一意图专门设计的，beagle 为需要监视的目录或文件创建了inotify 实例，然后它就等待该 inotify 上发生文件系统事件，如果没有任何文件变化，beagle 将不需要任何开销，只有在有被监视的事件发生时，beagle 才被唤醒并根据实际事件来更新对应的文件的索引，然后继续睡眠等待下一个文件系统事件发生。在 SuSe 9.3 和即将发布的 10.0 中就包含了该桌面搜索引擎，它能够为文档、email、音乐、图象和应用等建立索引。使用过 windows 下的桌面搜索引擎的读者对 google 和 yahoo 以及 Microsoft 的桌面搜索引擎有深刻的体会，感兴趣读者可以安装 SuSe 使用一下。
六、小结
inotify 是在 2.6.13 中引入的新功能，它为用户态监视文件系统的变化提供了强大的支持，本文详尽地介绍了其起源、内核实现、用户接口以及使用，有兴趣的读者可以读 2.6.13的相关源码来进一步了解其实现细节。
------------------------------
Inotify 是一个 Linux 特性，它监控文件系统操作，比如读取、写入和创建。Inotify 反应灵敏，用法非常简单，并且比 cron 任务的繁忙轮询高效得多。将 inotify 集成到应用程序中，并发现一组可用来进一步自动化系统管理的命令行工具。
inotify-产生背景
系统管理就像日常生活一样。就像刷牙和吃蔬菜一样，日常的维护能保持机器的良好状态。必须定期清空废物，比如临时文件或无用的日志文件，以及花时间填写表单、回复电话、下载更新和监控进程等。幸好自动化 shell 脚本、使用 Nagios 等工具进行监控、通过常见的 cron 进行任务调度可以减轻这个负担。
但奇怪的是，这些工具没有一个具有响应性。当然可以安排一个频繁运行的 cron 任务来监控条件，但这样繁忙的轮询 — 消耗大量资源并且具有不确定性 — 并不是很理想。例如，如果必须监控输入数据的几个 Transfer Protocol(FTP)收存箱，可能要通过 find 命令扫描每个目标目录，列举新的内容。尽管这个操作看起来并没有什么害处，但每个调用都产生一个新的 shell 和 find 命令，这需要许多系统调用来打开目录，然后扫描目录，等等。这会造成过于频繁的或大量的轮询任务(更糟糕的是，繁忙的轮询并不总是很好。想象一下一个文件系统浏览器，比如 Mac OS X 的 Finder，轮询更新时需要的大量资源及其复杂性)。
那么，管理员应该怎么办呢？令人高兴的是，您可以再次求助于可以信赖的计算机。
inotify-了解 inotify
Inotify 是一个 Linux 内核特性，它监控文件系统，并且及时向专门的应用程序发出相关的事件警告，比如删除、读、写和卸载操作等。还可以跟踪活动的源头和目标等细节。
使用 inotify 很简单：创建一个文件描述符，附加一个或多个监视器(一个监视器是一个路径和一组事件)，然后使用 read() 方法从描述符获取事件信息。read() 并不会用光整个周期，它在事件发生之前是被阻塞的。
更好的是，因为 inotify 通过传统的文件描述符工作，可以利用传统的 select() 系统调用来被动地监控监视器和许多其他输入源。两种方法 — 阻塞文件描述符和使用 select() 都避免了繁忙轮询。
现在，深入了解 inotify，写一些 C 代码，然后看看一组命令行工具，可以构建并使用它们将命令和脚本附加到文件系统事件。Inotify 不会在中途失去控制，但它可以运行 cat 和 wget，并且在必要时严格执行。
要使用 inotify，必须具备一台带有 2.6.13 或更新内核的 Linux 机器(以前的 Linux 内核版本使用更低级的文件监控器 dnotify)。如果不知道内核的版本，请转到 shell，输入 uname -a：
% uname -a
Linux ubuntu-desktop 2.6.24-19-generic #1 SMP ... i686 GNU/Linux
如果列出的内核版本不低于 2.6.13，系统就支持 inotify。还可以检查机器的 /usr/include/sys/inotify.h 文件。如果它存在，表明内核支持 inotify。
注意：FreeBSD 和 Mac OS X 提供一个类似于 inotify 的 kqueue。在 FreeBSD 机器上输入 man 2 kqueue 获取更多信息。
------------------------------
Inotify: 高效、实时的Linux文件系统事件监控框架
概要 - 为什么需要监控文件系统？
在日常工作中，人们往往需要知道在某些目录上的变化，比如：
* 通知配置文件的改变
* 跟踪某些关键的系统文件的变化
* 监控某个分区磁盘的整体使用情况
* 系统崩溃时进行自动清理
* 自动触发备份进程
* 向服务器上传文件结束时发出通知
通常使用文件轮询的通知机制，但是这种机制只适用于经常改变的文件(因为它可以确保每过x秒就可以得到i/o)，其他情况下都非常低效，并且有时候会丢失某些类型的变化，例如文件的修改时间没有改变。像Tripwire这样的数据完整性系统，它们基于时间调度来跟踪文件变化，但是如果想实时监控文件的变化的话，那么时间调度就束手无策了。Inotify就这样应运而生了。本文将简要介绍inotify，告诉我们如何监控文件夹，如何一有变化就报告相关消息事件，并介绍了一些相关工具， 我们可以把它们添加到自己的工具箱中。
Inotify到底是什么？
Inotify是一种文件变化通知机制，Linux内核从2.6.13开始引入。在BSD和Mac OS系统中比较有名的是kqueue，它可以高效地实时跟踪Linux文件系统的变化。近些年来，以fsnotify作为后端，几乎所有的主流Linux发行版都支持Inotify机制。如何知道你的Linux内核是否支持Inotify机制呢？很简单，执行下面这条命令：
% grep INOTIFY_USER /boot/config-$(uname -r)
CONFIG_INOTIFY_USER=y
如果输出('CONFIG_INOTIFY_USER=y')，那么你可以马上享受Inotify之旅了。
简单的文件变化通知样例：
好的开始是成功的一半，对于了解Inotify机制来说，让我们从使用inotifywait程序开始，它包含在inotify-tools工具包中。假如我们打算监控/srv/test文件夹上的操作，只需执行：
% inotifywait -rme modify,attrib,move,close_write,create,delete,delete_self /srv/test
Setting up watches. Beware: since -r was given, this may take a while!
Watches established.
上述任务运行的同时，我们在另一个shell里依次执行以下操作：创建文件夹，然后在新文件夹下创建文件，接着删除新创建的文件：
% mkdir /srv/test/test
% echo TODO > /srv/test/test/article.txt
% rm /srv/test/test/article.txt
在运行inotifywait的shell中将会打印以下信息：
/srv/test/ CREATE,ISDIR test
/srv/test/test/ CREATE article.txt
/srv/test/test/ MODIFY article.txt
/srv/test/test/ CLOSE_WRITE,CLOSE article.txt
/srv/test/test/ DELETE article.txt
显而易见，只要有变化我们就会收到相关的通知。如果想了解关于Inotify提供的事件(如modify, atrrib等)的详细信息，请参考inotifywatch的manpage。实际使用时，如果并不想监控某个大文件夹，那么就可以使用inotifywait的exclude选项。例如：我们要忽略文件夹/srv/test/large，那么就可以这样来建立监控:
% inotifywait --exclude '^/srv/test/(large|ignore)/' -rme modify,attrib,move,close_write,create,delete,delete_self /srv/test
Setting up watches. Beware: since -r was given, this may take a while!
Watches established.
上面的例子中，在exclude选项的匹配串中我们使用了正则表达式，因为我们不想将名称中含有large或ignore的文件也排除掉。我们可以测试一下：
% echo test > /srv/test/action.txt
% echo test > /srv/test/large/no_action.txt
% echo test > /srv/test/ignore/no_action.txt
% echo test > /srv/test/large-name-but-action.txt
这里inotifywait应该只会报告'action.txt'和'large-name-but-action.txt'两个文件的变化，而忽略子文件夹'large'和'ignore'下的文件，结果也确实如此；
/srv/test/ CREATE action.txt
/srv/test/ MODIFY action.txt
/srv/test/ CLOSE_WRITE,CLOSE action.txt
/srv/test/ CREATE large-name-but-action.txt
/srv/test/ MODIFY large-name-but-action.txt
/srv/test/ CLOSE_WRITE,CLOSE large-name-but-action.txt
另外，通过使用-t选项我们还可以定义inotifywait的监控时间，既可以让它执行一段时间，也可以让它一直运行。util-linux-ng的logger命令也可以实现此功能，不过得先把相关的消息事件发送到syslog，然后从syslog服务器再分析整合。
Inotifywatch - 使用inotify来统计文件系统访问信息
Inotify-tools中还有一个工具叫inotifywatch，它会先监听文件系统的消息事件，然后统计每个被监听文件或文件夹的消息事件，之后输出统计信息。比如我们想知道某个文件夹上有那些操作：
% inotifywatch -v -e access -e modify -t 120 -r ~/test
Establishing watches...
Setting up watch(es) on /home/mika/test
OK, /home/mika/test is now being watched.
Total of 58 watches.
Finished establishing watches, now collecting statistics.
Will listen for events for 120 seconds.
total modify filename
2 2 /home/mika/test/inotify/
很显然，这里我们监控的是~/test文件夹，并且可以看到/home/mika/test/inotify上发生了两个事件。方法虽简单，但却很有效。
Inotify的配置选项
使用Inotify时，要特别注意内核中关于它的两个配置。首先/proc/sys/fs/inotify/max_user_instances 规定了每个用户所能创建的Inotify实例的上限；其次/proc/sys/fs/inotify/max_user_watches规定了每个 Inotify实例最多能关联几个监控(watch)。你可以很容易地试验在运行过程中达到上限，如：
% inotifywait -r /
Setting up watches. Beware: since -r was given, this may take a while!
Failed to watch /; upper limit on inotify watches reached!
Please increase the amount of inotify watches allowed per user via `/proc/sys/fs/inotify/max_user_watches'.
如果要改变这些配置，只要向相应的文件写入新值即可，如下所示：
# cat /proc/sys/fs/inotify/max_user_watches
8192
# echo 16000 > /proc/sys/fs/inotify/max_user_watches
# cat /proc/sys/fs/inotify/max_user_watches
16000
使用Inotify的一些工具
近一段时间出现了很多基于Inotify的超炫的工具，如incron，它是一个类似于cron的守护进程(daemon)，传统的cron守护进程都是在规定的某个时间段内执行，而incron由于使用了Inotify，可以由事件触发执行。同时incron的安装简单而直观，比如在debian上，首先在/etc/incron.allow中添加使用incron的用户 (debian默认不允许用户使用incron，因为如果incron使用不慎的话，例如形成死循环，则会导致系统宕机)：
# echo username > /etc/incron.allow
然后调用”incrontab -e“, 在弹出的编辑器中插入我们自己的规则，例如下面的这条简单的规则，文件一变化incron就会发邮件通知我们：
/srv/test/ IN_CLOSE_WRITE mail -s "$@/$#\n" root
从现在开始，一旦/src/test文件夹中的文件被修改，就会发送一封邮件。但是注意不要让incron监控整个子目录树，因为Inotify只关注inodes，而不在乎是文件还是文件夹，所以基于Inotify的软件都需要自己来处理/预防递归问题。关于incontab详细使用，请参考incrontab的manpage。
如果你还要处理incoming文件夹，那么你可能需要inoticoming。当有文件进入incoming文件夹时Inoticoming就会执行某些动作，从而可以用inoticoming来管理debian的软件仓库(例如软件仓库中一旦有上传源码包或是新添加的二进制包就立刻自动进行编译)，另外还可以用它来监控系统是否有新上传文件，如果有就发送通知。类似的工具还有 (它们都各有专长)：inosync(基于消息通知机制的文件夹同步服务)，iwatch(基于Inotify的程序，对文件系统进行实时监控)，以及lsyncd(一个守护进程(daemon)，使用rsync同步本地文件夹)。
Inotify甚至对传统的Unix工具也进行了改进，例如tail。使用inotail，同时加上-f选项，就可以取代每秒轮询文件的做法。此外，GNU 的coreutils从版本7.5开始也支持Inotify了，我们可以运行下面的命令来确认：
# strace -e inotify_init,inotify_add_watch tail -f ~log/syslog
[...]
inotify_init() = 4
inotify_add_watch(4, "/var/log/syslog", IN_MODIFY|IN_ATTRIB|IN_DELETE_SELF|IN_MOVE_SELF) = 1
从现在开始，通过轮询来确实文件是否需要重新读取的方法应该作为古董了。
在脚本中使用Inotify
Inotify机制并不局限于工具，在脚本语言中也完全可以享受Inotify的乐趣，如Python中可以使用pyinotify和inotifyx，Perl中有Filesys-Notify-Simple和Linux-Inotify2，Inotify的Ruby版有ruby-inotifyrb-inoty和fssm。
总结
综上所述，Inotify为Linux提供了一套高效监控和跟踪文件变化的机制，它可以实时地处理、调试以及监控文件变化，而轮询是一种延迟机制。对于系统管理员，关于实现事件驱动的服务如系统备份，构建服务以及基于文件操作的程序调试等，Inotify无疑提供了强大的支持。
注：本文绝大部分源自互联网
简介：本文详细地介绍了在 Linux 2.6.13 内核中新引入的文件系统变化通知机制 inotify，并举例说明了它的使用与典型应用案例。Inotify 是文件系统事件监控机制，计划包含在即将发布的 Linux 内核中作为 dnotify 的有效替代。dnotify 是较早内核支持的文件监控机制。Inotify一种强大的、细粒度的、异步的机制，它满足各种各样的文件监控需要，不仅限于安全和性能。下面让我们一起学习如何安装 inotify 和如何构建一个示例用户空间应用程序来响应文件系统事件。
文件系统事件监控对于从文件管理器到安全工具的各种程序都是必要的，但是dnotify（早期内核中的标准）存在一些局限性，这使期待出现一种更加完善的机制。inotify 是一种更加现代化的文件系统事件监控替代品。
一、 引言
众所周知，Linux 桌面系统与 MAC 或 Windows 相比有许多不如人意的地方，为了改善这种状况，开源社区提出用户态需要内核提供一些机制，以便用户态能够及时地得知内核或底层硬件设备发生了什么，从而能够更好地管理设备，给用户提供更好的服务，如 hotplug、udev 和 inotify 就是这种需求催生的。Hotplug 是一种内核向用户态应用通报关于热插拔设备一些事件发生的机制，桌面系统能够利用它对设备进行有效的管理，udev 动态地维护 /dev 下的设备文件，inotify 是一种文件系统的变化通知机制，如文件增加、删除等事件可以立刻让用户态得知，该机制是著名的桌面搜索引擎项目 beagle 引入的，并在 Gamin 等项目中被应用。
使用 inotify 取代 dnotify 的原因有很多。第一个原因是 dnotify 需要您为每个打算监控是否发生改变的目录打开一个文件描述符。当同时监控多个目录时，这会消耗大量的资源，因为有可能达到每个进程的文件描述符限制。
除此之外，文件描述符会锁定目录，不允许卸载（unmount）支持的设备，这在存在可移动介质的环境中会引发问题。在使用 inotify 时，如果正在监控被卸载的文件系统上的文件，那么监控会被自动移除并且您会接收到一个卸载事件。
dnotify 不如 inotify 的第二个原因是 dnotify 有点复杂。注意，使用 dnotify 基础设施的简单文件系统监控粒度只停留于目录级别。为了使用 dnotify 进行更细粒度的监控，应用程序编程人员必须为每个受监控的目录保留一个 stat 结构的缓存。该用户空间的 stat 结构缓存需要用来明确确定当接收到通知信号时目录发生了什么变化。当获得通知信号时，生成 stat 结构列表并与最新的状态相比较。显而易见，这种技术是不理想的。
inotify 的另一个优点是它使用文件描述符作为基本接口，使应用程序开发者使用 select 和 poll 来监控设备。这允许有效的多路 I/O 和与 Glib 的 mainloop 的集成。相反，dnotify 所使用的信号常常使程序员头疼并且感觉不太优雅。inotify 通过提供一个更优雅的 API 解决了这些问题，该 API 使用最少的文件描述符，并确保更细粒度的监控。与 inotify 的通信是通过设备节点提供的。基于以上原因，对于监控 Linux 2.6 平台上的文件，inotify 是最明智的选择。
事实上，在 inotify 之前已经存在一种类似的机制叫 dnotify，但是它存在许多缺陷：
1.对于想监视的每一个目录，用户都需要打开一个文件描述符，因此如果需要监视的目录较多，将导致打开许多文件描述符，特别是，如果被监视目录在移动介质上(如光盘和 USB 盘)，将导致无法 umount 这些文件系统，因为使用 dnotify 的应用打开的文件描述符在使用该文件系统。
2.dnotify 是基于目录的，它只能得到目录变化事件，当然在目录内的文件的变化会影响到其所在目录从而引发目录变化事件，但是要想通过目录事件来得知哪个文件变化，需要缓存许多 stat 结构的数据。
3.Dnotify 的接口非常不友好，它使用 signal。
Inotify 是为替代 dnotify 而设计的，它克服了 dnotify 的缺陷，提供了更好用的，简洁而强大的文件变化通知机制：
1.Inotify 不需要对被监视的目标打开文件描述符，而且如果被监视目标在可移动介质上，那么在 umount 该介质上的文件系统后，被监视目标对应的 watch 将被自动删除，并且会产生一个 umount 事件。
2.Inotify 既可以监视文件，也可以监视目录。
3.Inotify 使用系统调用而非 SIGIO 来通知文件系统事件。
4.Inotify 使用文件描述符作为接口，因而可以使用通常的文件 I/O 操作select 和 poll 来监视文件系统的变化。
Inotify 可以监视的文件系统事件包括：
* IN_ACCESS，即文件被访问
* IN_MODIFY，文件被 write
* IN_ATTRIB，文件属性被修改，如 chmod、chown、touch 等
* IN_CLOSE_WRITE，可写文件被 close
* IN_CLOSE_NOWRITE，不可写文件被 close
* IN_OPEN，文件被 open
* IN_MOVED_FROM，文件被移走,如 mv
* IN_MOVED_TO，文件被移来，如 mv、cp
* IN_CREATE，创建新文件
* IN_DELETE，文件被删除，如 rm
* IN_DELETE_SELF，自删除，即一个可执行文件在执行时删除自己
* IN_MOVE_SELF，自移动，即一个可执行文件在执行时移动自己
* IN_UNMOUNT，宿主文件系统被 umount
* IN_CLOSE，文件被关闭，等同于(IN_CLOSE_WRITE | IN_CLOSE_NOWRITE)
* IN_MOVE，文件被移动，等同于(IN_MOVED_FROM | IN_MOVED_TO)
注：上面所说的文件也包括目录。
二、用户接口
在用户态，inotify 通过三个系统调用和在返回的文件描述符上的文件 I/O 操作来使用，使用 inotify 的第一步是创建 inotify 实例：
int fd = inotify_init ();
每一个 inotify 实例对应一个独立的排序的队列。
文件系统的变化事件被称做 watches 的一个对象管理，每一个 watch 是一个二元组(目标，事件掩码)，目标可以是文件或目录，事件掩码表示应用希望关注的 inotify 事件，每一个位对应一个 inotify 事件。Watch 对象通过 watch描述符引用，watches 通过文件或目录的路径名来添加。目录 watches 将返回在该目录下的所有文件上面发生的事件。
下面函数用于添加一个 watch：
int wd = inotify_add_watch (fd, path, mask);
fd 是 inotify_init() 返回的文件描述符，path 是被监视的目标的路径名(即文件名或目录名)，mask 是事件掩码, 在头文件 linux/inotify.h 中定义了每一位代表的事件。可以使用同样的方式来修改事件掩码，即改变希望被通知的inotify 事件。Wd 是 watch 描述符。
下面的函数用于删除一个 watch：
int ret = inotify_rm_watch (fd, wd);
fd 是 inotify_init() 返回的文件描述符，wd 是 inotify_add_watch() 返回的 watch 描述符。Ret 是函数的返回值。
文件事件用一个 inotify_event 结构表示，它通过由 inotify_init() 返回的文件描述符使用通常文件读取函数 read 来获得。
struct inotify_event {
__s32 wd; /* watch descriptor */
__u32 mask; /* watch mask */
__u32 cookie; /* cookie to synchronize two events */
__u32 len; /* length (including nulls) of name */
char name[0]; /* stub for possible name */
};
结构中的 wd 为被监视目标的 watch 描述符，mask 为事件掩码，len 为 name字符串的长度，name 为被监视目标的路径名，该结构的 name 字段为一个桩，它只是为了用户方面引用文件名，文件名是变长的，它实际紧跟在该结构的后面，文件名将被 0 填充以使下一个事件结构能够 4 字节对齐。
注意：len 也把填充字节数统计在内。
通过 read 调用可以一次获得多个事件，只要提供的 buf 足够大。
size_t len = read (fd, buf, BUF_LEN);
buf 是一个 inotify_event 结构的数组指针，BUF_LEN 指定要读取的总长度，buf 大小至少要不小于 BUF_LEN，该调用返回的事件数取决于 BUF_LEN 以及事件中文件名的长度。Len 为实际读去的字节数，即获得的事件的总长度。
可以在函数 inotify_init() 返回的文件描述符 fd 上使用 select() 或poll(), 也可以在 fd 上使用 ioctl 命令 FIONREAD 来得到当前队列的长度。close(fd)将删除所有添加到 fd 中的 watch 并做必要的清理。
int inotify_init (void);
int inotify_add_watch (int fd, const char *path, __u32 mask);
int inotify_rm_watch (int fd, __u32 mask);
三、内核实现机理
在内核中，每一个 inotify 实例对应一个 inotify_device 结构：
struct inotify_device {
wait_queue_head_t wq; /* wait queue for i/o */
struct idr idr; /* idr mapping wd -> watch */
struct semaphore sem; /* protects this bad boy */
struct list_head events; /* list of queued events */
struct list_head watches; /* list of watches */
atomic_t count; /* reference count */
struct user_struct *user; /* user who opened this dev */
unsigned int queue_size; /* size of the queue (bytes) */
unsigned int event_count; /* number of pending events */
unsigned int max_events; /* maximum number of events */
u32 last_wd; /* the last wd allocated */
};
wq 是等待队列，被 read 调用阻塞的进程将挂在该等待队列上，idr 用于把 watch 描述符映射到对应的 inotify_watch，sem 用于同步对该结构的访问，events 为该 inotify 实例上发生的事件的列表，被该 inotify 实例监视的所有事件在发生后都将插入到这个列表，watches 是给 inotify 实例监视的 watch 列表，inotify_add_watch 将把新添加的 watch 插入到该列表，count 是引用计数，user 用于描述创建该 inotify 实例的用户，queue_size 表示该 inotify 实例的事件队列的字节数，event_count 是 events 列表的事件数，max_events 为最大允许的事件数，last_wd 是上次分配的 watch 描述符。
每一个 watch 对应一个 inotify_watch 结构：
struct inotify_watch {
struct list_head d_list; /* entry in inotify_device's list */
struct list_head i_list; /* entry in inode's list */
atomic_t count; /* reference count */
struct inotify_device *dev; /* associated device */
struct inode *inode; /* associated inode */
s32 wd; /* watch descriptor */
u32 mask; /* event mask for this watch */
};
d_list 指向所有 inotify_device 组成的列表的，i_list 指向所有被监视 inode 组成的列表，count 是引用计数，dev 指向该 watch 所在的 inotify 实例对应的 inotify_device 结构，inode 指向该 watch 要监视的 inode，wd 是分配给该 watch 的描述符，mask 是该 watch 的事件掩码，表示它对哪些文件系统事件感兴趣。
结构 inotify_device 在用户态调用 inotify_init() 时创建，当关闭 inotify_init()返回的文件描述符时将被释放。结构 inotify_watch 在用户态调用 inotify_add_watch()时创建，在用户态调用 inotify_rm_watch() 或 close(fd) 时被释放。
无论是目录还是文件，在内核中都对应一个 inode 结构，inotify 系统在 inode 结构中增加了两个字段：
#ifdef CONFIG_INOTIFY
struct list_head inotify_watches; /* watches on this inode */
struct semaphore inotify_sem; /* protects the watches list */
#endif
inotify_watches 是在被监视目标上的 watch 列表，每当用户调用 inotify_add_watch()时，内核就为添加的 watch 创建一个 inotify_watch 结构，并把它插入到被监视目标对应的 inode 的 inotify_watches 列表。inotify_sem 用于同步对 inotify_watches 列表的访问。当文件系统发生第一部分提到的事件之一时，相应的文件系统代码将显示调用fsnotify_* 来把相应的事件报告给 inotify 系统，其中*号就是相应的事件名，目前实现包括：
* fsnotify_move，文件从一个目录移动到另一个目录
* fsnotify_nameremove，文件从目录中删除
* fsnotify_inoderemove，自删除
* fsnotify_create，创建新文件
* fsnotify_mkdir，创建新目录
* fsnotify_access，文件被读
* fsnotify_modify，文件被写
* fsnotify_open，文件被打开
* fsnotify_close，文件被关闭
* fsnotify_xattr，文件的扩展属性被修改
* fsnotify_change，文件被修改或原数据被修改
有一个例外情况，就是 inotify_unmount_inodes，它会在文件系统被 umount 时调用来通知 umount 事件给 inotify 系统。
以上提到的通知函数最后都调用 inotify_inode_queue_event(inotify_unmount_inodes直接调用 inotify_dev_queue_event )，该函数首先判断对应的inode是否被监视，这通过查看 inotify_watches 列表是否为空来实现，如果发现 inode 没有被监视，什么也不做，立刻返回，反之，遍历 inotify_watches 列表，看是否当前的文件操作事件被某个 watch 监视，如果是，调用 inotify_dev_queue_event，否则，返回。函数inotify_dev_queue_event 首先判断该事件是否是上一个事件的重复，如果是就丢弃该事件并返回，否则，它判断是否 inotify 实例即 inotify_device 的事件队列是否溢出，如果溢出，产生一个溢出事件，否则产生一个当前的文件操作事件，这些事件通过kernel_event 构建，kernel_event 将创建一个 inotify_kernel_event 结构，然后把该结构插入到对应的 inotify_device 的 events 事件列表，然后唤醒等待在inotify_device 结构中的 wq 指向的等待队列。想监视文件系统事件的用户态进程在inotify 实例(即 inotify_init() 返回的文件描述符)上调用 read 时但没有事件时就挂在等待队列 wq 上。
四、使用示例
下面是一个使用 inotify 来监视文件系统事件的例子：
#include “linux/unistd.h”
#include “linux/inotify.h”
#include “errno.h”
_syscall0(int, inotify_init)
_syscall3(int, inotify_add_watch, int, fd, const char *, path, __u32, mask)
_syscall2(int, inotify_rm_watch, int, fd, __u32, mask)
char * monitored_files[] = {
"./tmp_file",
"./tmp_dir",
"/mnt/sda3/windows_file"
};
struct wd_name {
int wd;
char * name;
};
#define WD_NUM 3
struct wd_name wd_array[WD_NUM];
char * event_array[] = {
"File was accessed",
"File was modified",
"File attributes were changed",
"writtable file closed",
"Unwrittable file closed",
"File was opened",
"File was moved from X",
"File was moved to Y",
"Subfile was created",
"Subfile was deleted",
"Self was deleted",
"Self was moved",
"",
"Backing fs was unmounted",
"Event queued overflowed",
"File was ignored"
};
#define EVENT_NUM 16
#define MAX_BUF_SIZE 1024
int main(void){
int fd;
int wd;
char buffer[1024];
char * offset = NULL;
struct inotify_event * event;
int len, tmp_len;
char strbuf[16];
int i = 0;
fd = inotify_init();
if (fd < 0) {
printf("Fail to initialize inotify.\n");
exit(-1);
}
for (i=0; i<WD_NUM; i++) {
wd_array[i].name = monitored_files[i];
wd = inotify_add_watch(fd, wd_array[i].name, IN_ALL_EVENTS);
if (wd < 0) {
printf("Can't add watch for %s.\n", wd_array[i].name);
exit(-1);
}
wd_array[i].wd = wd;
}
while(len = read(fd, buffer, MAX_BUF_SIZE)) {
offset = buffer;
printf("Some event happens, len = %d.\n", len);
event = (struct inotify_event *)buffer;
while (((char *)event - buffer) < len) {
if (event->mask & IN_ISDIR) {
memcpy(strbuf, "Direcotory", 11);
}
else {
memcpy(strbuf, "File", 5);
}
printf("Object type: %s\n", strbuf);
for (i=0; i<WD_NUM; i++) {
if (event->wd != wd_array[i].wd) continue;
printf("Object name: %s\n", wd_array[i].name);
break;
}
printf("Event mask: %08X\n", event->mask);
for (i=0; i<EVENT_NUM; i++) {
if (event_array[i][0] == '\0') continue;
if (event->mask & (1<<i)) {
printf("Event: %s\n", event_array[i]);
}
}
tmp_len = sizeof(struct inotify_event) + event->len;
event = (struct inotify_event *)(offset + tmp_len);
offset += tmp_len;
}
}
}
该程序将监视发生在当前目录下的文件 tmp_file 与当前目录下的目录 tmp_dir 上的所有文件系统事件，同时它也将监视发生在文件 /mnt/sda3/windows_file 上的文件系统事件，注意，/mnt/sda3 是 SATA 硬盘分区 3 的挂接点。
细心的读者可能注意到，该程序首部使用 syscallN 来声明 inotify 系统调用，原因是这些系统调用是在最新的稳定内核 2.6.13 中引入的，glibc 并没有实现这些系统调用的库函数版本，因此为了能在程序中使用这些系统调用，必须通过 _syscallN 来声明这些新的系统，其中的 N 为要声明的系统调用实际的参数数。还有需要注意的地方是系统的头文件必须与被启动的内核匹配，为了让上面的程序能够成功编译，必须2.6.13 的内核头文件(包括 include/linux/*, include/asm/* 和 include/asm-generic/*)在头文件搜索路径内，并且是第一优先搜索的头文件路径，因为 _syscallN 需要用到这些头文件中的 linux/unistd.h 和 asm/unistd.h，它们包含了 inotify 的三个系统调用的系统调用号 __NR_inotify_init、__NR_inotify_add_watch 和 __NR_inotify_rm_watch。
因此，要想成功编译此程序，只要把用户编译好的内核的头文件拷贝到该程序所在的路径，并使用如下命令编译即可：
$gcc -o inotify_example -I. inotify_example.c
注意：当前目录下应当包含 linux、asm 和 asm-generic 三个已编译好的 2.6.13 内核的有文件目录，asm 是一个链接，因此拷贝 asm 头文件的时候需要拷贝 asm 与 asm-ARCH(对于 x86 平台应当是 asm-i386)。然后，为了运行该程序，需要在当前目录下创建文件 tmp_file 和目录 tmp_dir，对于/mnt/sda3/windows_file 文件，用户需要依自己的实际情况而定，可能是/mnt/dosc/windows_file，即 /mnt/dosc 是一个 FAT32 的 windows 硬盘，因此用户在编译该程序时需要根据自己的实际情况来修改 /mnt/sda3。Windows_file 是在被 mount 硬盘上创建的一个文件，为了运行该程序，它必须被创建。
以下是作者在 redhat 9.0 上运行此程序得到的一些结果：
当运行此程序的时候在另一个虚拟终端执行 cat ./tmp_file，此程序的输出为：
Some event happens, len = 48.
Object type: File
Object name: ./tmp_file
Event mask: 00000020
Event: File was opened
Object type: File
Object name: ./tmp_file
Event mask: 00000001
Event: File was accessed
Object type: File
Object name: ./tmp_file
Event mask: 00000010
Event: Unwrittable file closed
以上事件清楚地说明了 cat 指令执行了文件 open 和 close 操作，当然 open 和 close操作都属于 access 操作，任何对文件的操作都是 access 操作。
此外，运行 vi ./tmp_file，发现 vi实际在编辑文件时复制了一个副本，在未保存之前是对副本进行操作。运行 vi ./tmp_file, 修改并保存退出时，发现 vi 实际在保存修改时删除了最初的文件并把那个副本文件名更改为最初的文件的名称。注意，事件"File was ignored"表示系统把该文件对应的 watch 从 inotify 实例的 watch 列表中删除，因为文件已经被删除。读者可以自己分别执行命令：echo "abc" > ./tmp_file 、rm -f tmp_file、 ls tmp_dir、 cd tmp_dir;touch c.txt、 rm c.txt 、 umount /mnt/sda3(实际用户需要使用自己当时的 mount 点路径名)，然后分析一下结果。Umount 触发两个事件，一个表示文件已经被删除或不在存在，另一个表示该文件的 watch被从 watch 列表中删除。
现代inotify一例
#include <stdio.h>
#include <string.h>
#include <stdlib.h>
#include <unistd.h>
#include <errno.h>
#include <sys/inotify.h>
#define EVENT_NUM 12
const char *event_str[EVENT_NUM] = {
"IN_ACCESS",
"IN_MODIFY",
"IN_ATTRIB",
"IN_CLOSE_WRITE",
"IN_CLOSE_NOWRITE",
"IN_OPEN",
"IN_MOVED_FROM",
"IN_MOVED_TO",
"IN_CREATE",
"IN_DELETE",
"IN_DELETE_SELF",
"IN_MOVE_SELF"
};
int inotifyTask(char *argv[]){
int errTimes = 0;
int fd = -1;
INIT_INOTIFY:
fd = inotify_init();
if(fd < 0){
fprintf(stderr, "inotify_init failed\n");
printf("Error no.%d: %s\n", errno, strerror(errno));
goto INOTIFY_FAIL;
}
int wd1 = -1;
int wd2 = -1;
struct inotify_event *event;
int length;
int nread;
char buf[BUFSIZ];
int i = 0;
buf[sizeof(buf) - 1] = 0;
INOTIFY_AGAIN:
wd1 = inotify_add_watch(fd, argv[1], IN_ALL_EVENTS);
if(wd1 < 0){
fprintf(stderr, "inotify_add_watch %s failed\n", argv[1]);
printf("Error no.%d: %s\n", errno, strerror(errno));
if(errTimes < 3){
goto INOTIFY_AGAIN;
}
else
{
goto INOTIFY_FAIL;
}
}
wd2 = inotify_add_watch(fd, argv[2], IN_ALL_EVENTS);
if(wd2 < 0){
fprintf(stderr, "inotify_add_watch %s failed\n", argv[2]);
printf("Error no.%d: %s\n", errno, strerror(errno));
if(errTimes < 3){
goto INOTIFY_AGAIN;
}else{
goto INOTIFY_FAIL;
}
}
length = read(fd, buf, sizeof(buf) - 1);
nread = 0;
// inotify 事件发生时
while(length > 0){
printf("\n");
event = (struct inotify_event *)&buf[nread];
// 遍历所有事件
for(i = 0; i< EVENT_NUM; i++){
// 判断事件是否发生
if( (event->mask >> i) & 1 ){
// 该监控项为目录或目录下的文件时
if(event->len > 0){
fprintf(stdout, "%s --- %s\n", event->name, event_str[i]);
}
// 该监控项为文件时
else if(event->len == 0){
if(event->wd == wd1){
fprintf(stdout, "%s --- %s\n", argv[1], event_str[i]);
}
if(event->wd == wd2){
fprintf(stdout, "%s --- %s\n", argv[2], event_str[i]);
}
}
}
}
nread = nread + sizeof(struct inotify_event) + event->len;
length = length - sizeof(struct inotify_event) - event->len;
}
goto INOTIFY_AGAIN;
close(fd);
return 0;
INOTIFY_FAIL:
return -1;
}
int main(int argc, char *argv[]){
if(argc < 3){
fprintf(stderr, "Usage: %s path path\n", argv[0]);
return -1;
}
if(inotifyTask(argv) == -1){
return -1;
}
return 0;
}
编译命令：
gcc inotify.c -o freeoa_intotify
当不加任何参数执行时会提示信息，需要输入两个路径(文件名目录)用于监控。
五、典型应用
beagle 是 GNOME 的桌面搜索引擎项目，inotify 的引入就是完全受它的驱动而做的。对于桌面搜索引擎，它一般作为一个优先级很低的后台进程运行，只有在系统没有其他任务可运行时才被调度执行，桌面搜索引擎的主要用途就是为系统的文件系统的文件建立索引数据库，以便用户在需要某文件但又想不起存放在哪里时能够根据某些关键字或特征快速地搜索到需要的文件，就象使用网络搜索引擎 google 一样便捷。文件系统有个特点就是只有某些文件会变化，因此桌面搜索引擎在第一次建立完索引数据库后，没必要重复遍历所有的文件建立新的索引，它只需要更新修改了的文件的索引，建立新增加的文件的索引，删除已经删除的文件的索引就足够了，这样桌面搜索引擎需要做的工作就大大地减少。Inotify 就是为这一意图专门设计的，beagle 为需要监视的目录或文件创建了inotify 实例，然后它就等待该 inotify 上发生文件系统事件，如果没有任何文件变化，beagle 将不需要任何开销，只有在有被监视的事件发生时，beagle 才被唤醒并根据实际事件来更新对应的文件的索引，然后继续睡眠等待下一个文件系统事件发生。在 SuSe 9.3 和即将发布的 10.0 中就包含了该桌面搜索引擎，它能够为文档、email、音乐、图象和应用等建立索引。使用过 windows 下的桌面搜索引擎的读者对 google 和 yahoo 以及 Microsoft 的桌面搜索引擎有深刻的体会，感兴趣读者可以安装 SuSe 使用一下。
六、小结
inotify 是在 2.6.13 中引入的新功能，它为用户态监视文件系统的变化提供了强大的支持，本文详尽地介绍了其起源、内核实现、用户接口以及使用，有兴趣的读者可以读 2.6.13的相关源码来进一步了解其实现细节。
------------------------------
Inotify 是一个 Linux 特性，它监控文件系统操作，比如读取、写入和创建。Inotify 反应灵敏，用法非常简单，并且比 cron 任务的繁忙轮询高效得多。将 inotify 集成到应用程序中，并发现一组可用来进一步自动化系统管理的命令行工具。
inotify-产生背景
系统管理就像日常生活一样。就像刷牙和吃蔬菜一样，日常的维护能保持机器的良好状态。必须定期清空废物，比如临时文件或无用的日志文件，以及花时间填写表单、回复电话、下载更新和监控进程等。幸好自动化 shell 脚本、使用 Nagios 等工具进行监控、通过常见的 cron 进行任务调度可以减轻这个负担。
但奇怪的是，这些工具没有一个具有响应性。当然可以安排一个频繁运行的 cron 任务来监控条件，但这样繁忙的轮询 — 消耗大量资源并且具有不确定性 — 并不是很理想。例如，如果必须监控输入数据的几个 Transfer Protocol(FTP)收存箱，可能要通过 find 命令扫描每个目标目录，列举新的内容。尽管这个操作看起来并没有什么害处，但每个调用都产生一个新的 shell 和 find 命令，这需要许多系统调用来打开目录，然后扫描目录，等等。这会造成过于频繁的或大量的轮询任务(更糟糕的是，繁忙的轮询并不总是很好。想象一下一个文件系统浏览器，比如 Mac OS X 的 Finder，轮询更新时需要的大量资源及其复杂性)。
那么，管理员应该怎么办呢？令人高兴的是，您可以再次求助于可以信赖的计算机。
inotify-了解 inotify
Inotify 是一个 Linux 内核特性，它监控文件系统，并且及时向专门的应用程序发出相关的事件警告，比如删除、读、写和卸载操作等。还可以跟踪活动的源头和目标等细节。
使用 inotify 很简单：创建一个文件描述符，附加一个或多个监视器(一个监视器是一个路径和一组事件)，然后使用 read() 方法从描述符获取事件信息。read() 并不会用光整个周期，它在事件发生之前是被阻塞的。
更好的是，因为 inotify 通过传统的文件描述符工作，可以利用传统的 select() 系统调用来被动地监控监视器和许多其他输入源。两种方法 — 阻塞文件描述符和使用 select() 都避免了繁忙轮询。
现在，深入了解 inotify，写一些 C 代码，然后看看一组命令行工具，可以构建并使用它们将命令和脚本附加到文件系统事件。Inotify 不会在中途失去控制，但它可以运行 cat 和 wget，并且在必要时严格执行。
要使用 inotify，必须具备一台带有 2.6.13 或更新内核的 Linux 机器(以前的 Linux 内核版本使用更低级的文件监控器 dnotify)。如果不知道内核的版本，请转到 shell，输入 uname -a：
% uname -a
Linux ubuntu-desktop 2.6.24-19-generic #1 SMP ... i686 GNU/Linux
如果列出的内核版本不低于 2.6.13，系统就支持 inotify。还可以检查机器的 /usr/include/sys/inotify.h 文件。如果它存在，表明内核支持 inotify。
注意：FreeBSD 和 Mac OS X 提供一个类似于 inotify 的 kqueue。在 FreeBSD 机器上输入 man 2 kqueue 获取更多信息。
------------------------------
Inotify: 高效、实时的Linux文件系统事件监控框架
概要 - 为什么需要监控文件系统？
在日常工作中，人们往往需要知道在某些目录上的变化，比如：
* 通知配置文件的改变
* 跟踪某些关键的系统文件的变化
* 监控某个分区磁盘的整体使用情况
* 系统崩溃时进行自动清理
* 自动触发备份进程
* 向服务器上传文件结束时发出通知
通常使用文件轮询的通知机制，但是这种机制只适用于经常改变的文件(因为它可以确保每过x秒就可以得到i/o)，其他情况下都非常低效，并且有时候会丢失某些类型的变化，例如文件的修改时间没有改变。像Tripwire这样的数据完整性系统，它们基于时间调度来跟踪文件变化，但是如果想实时监控文件的变化的话，那么时间调度就束手无策了。Inotify就这样应运而生了。本文将简要介绍inotify，告诉我们如何监控文件夹，如何一有变化就报告相关消息事件，并介绍了一些相关工具， 我们可以把它们添加到自己的工具箱中。
Inotify到底是什么？
Inotify是一种文件变化通知机制，Linux内核从2.6.13开始引入。在BSD和Mac OS系统中比较有名的是kqueue，它可以高效地实时跟踪Linux文件系统的变化。近些年来，以fsnotify作为后端，几乎所有的主流Linux发行版都支持Inotify机制。如何知道你的Linux内核是否支持Inotify机制呢？很简单，执行下面这条命令：
% grep INOTIFY_USER /boot/config-$(uname -r)
CONFIG_INOTIFY_USER=y
如果输出('CONFIG_INOTIFY_USER=y')，那么你可以马上享受Inotify之旅了。
简单的文件变化通知样例：
好的开始是成功的一半，对于了解Inotify机制来说，让我们从使用inotifywait程序开始，它包含在inotify-tools工具包中。假如我们打算监控/srv/test文件夹上的操作，只需执行：
% inotifywait -rme modify,attrib,move,close_write,create,delete,delete_self /srv/test
Setting up watches. Beware: since -r was given, this may take a while!
Watches established.
上述任务运行的同时，我们在另一个shell里依次执行以下操作：创建文件夹，然后在新文件夹下创建文件，接着删除新创建的文件：
% mkdir /srv/test/test
% echo TODO > /srv/test/test/article.txt
% rm /srv/test/test/article.txt
在运行inotifywait的shell中将会打印以下信息：
/srv/test/ CREATE,ISDIR test
/srv/test/test/ CREATE article.txt
/srv/test/test/ MODIFY article.txt
/srv/test/test/ CLOSE_WRITE,CLOSE article.txt
/srv/test/test/ DELETE article.txt
显而易见，只要有变化我们就会收到相关的通知。如果想了解关于Inotify提供的事件(如modify, atrrib等)的详细信息，请参考inotifywatch的manpage。实际使用时，如果并不想监控某个大文件夹，那么就可以使用inotifywait的exclude选项。例如：我们要忽略文件夹/srv/test/large，那么就可以这样来建立监控:
% inotifywait --exclude '^/srv/test/(large|ignore)/' -rme modify,attrib,move,close_write,create,delete,delete_self /srv/test
Setting up watches. Beware: since -r was given, this may take a while!
Watches established.
上面的例子中，在exclude选项的匹配串中我们使用了正则表达式，因为我们不想将名称中含有large或ignore的文件也排除掉。我们可以测试一下：
% echo test > /srv/test/action.txt
% echo test > /srv/test/large/no_action.txt
% echo test > /srv/test/ignore/no_action.txt
% echo test > /srv/test/large-name-but-action.txt
这里inotifywait应该只会报告'action.txt'和'large-name-but-action.txt'两个文件的变化，而忽略子文件夹'large'和'ignore'下的文件，结果也确实如此；
/srv/test/ CREATE action.txt
/srv/test/ MODIFY action.txt
/srv/test/ CLOSE_WRITE,CLOSE action.txt
/srv/test/ CREATE large-name-but-action.txt
/srv/test/ MODIFY large-name-but-action.txt
/srv/test/ CLOSE_WRITE,CLOSE large-name-but-action.txt
另外，通过使用-t选项我们还可以定义inotifywait的监控时间，既可以让它执行一段时间，也可以让它一直运行。util-linux-ng的logger命令也可以实现此功能，不过得先把相关的消息事件发送到syslog，然后从syslog服务器再分析整合。
Inotifywatch - 使用inotify来统计文件系统访问信息
Inotify-tools中还有一个工具叫inotifywatch，它会先监听文件系统的消息事件，然后统计每个被监听文件或文件夹的消息事件，之后输出统计信息。比如我们想知道某个文件夹上有那些操作：
% inotifywatch -v -e access -e modify -t 120 -r ~/test
Establishing watches...
Setting up watch(es) on /home/mika/test
OK, /home/mika/test is now being watched.
Total of 58 watches.
Finished establishing watches, now collecting statistics.
Will listen for events for 120 seconds.
total modify filename
2 2 /home/mika/test/inotify/
很显然，这里我们监控的是~/test文件夹，并且可以看到/home/mika/test/inotify上发生了两个事件。方法虽简单，但却很有效。
Inotify的配置选项
使用Inotify时，要特别注意内核中关于它的两个配置。首先/proc/sys/fs/inotify/max_user_instances 规定了每个用户所能创建的Inotify实例的上限；其次/proc/sys/fs/inotify/max_user_watches规定了每个 Inotify实例最多能关联几个监控(watch)。你可以很容易地试验在运行过程中达到上限，如：
% inotifywait -r /
Setting up watches. Beware: since -r was given, this may take a while!
Failed to watch /; upper limit on inotify watches reached!
Please increase the amount of inotify watches allowed per user via `/proc/sys/fs/inotify/max_user_watches'.
如果要改变这些配置，只要向相应的文件写入新值即可，如下所示：
# cat /proc/sys/fs/inotify/max_user_watches
8192
# echo 16000 > /proc/sys/fs/inotify/max_user_watches
# cat /proc/sys/fs/inotify/max_user_watches
16000
使用Inotify的一些工具
近一段时间出现了很多基于Inotify的超炫的工具，如incron，它是一个类似于cron的守护进程(daemon)，传统的cron守护进程都是在规定的某个时间段内执行，而incron由于使用了Inotify，可以由事件触发执行。同时incron的安装简单而直观，比如在debian上，首先在/etc/incron.allow中添加使用incron的用户 (debian默认不允许用户使用incron，因为如果incron使用不慎的话，例如形成死循环，则会导致系统宕机)：
# echo username > /etc/incron.allow
然后调用”incrontab -e“, 在弹出的编辑器中插入我们自己的规则，例如下面的这条简单的规则，文件一变化incron就会发邮件通知我们：
/srv/test/ IN_CLOSE_WRITE mail -s "$@/$#\n" root
从现在开始，一旦/src/test文件夹中的文件被修改，就会发送一封邮件。但是注意不要让incron监控整个子目录树，因为Inotify只关注inodes，而不在乎是文件还是文件夹，所以基于Inotify的软件都需要自己来处理/预防递归问题。关于incontab详细使用，请参考incrontab的manpage。
如果你还要处理incoming文件夹，那么你可能需要inoticoming。当有文件进入incoming文件夹时Inoticoming就会执行某些动作，从而可以用inoticoming来管理debian的软件仓库(例如软件仓库中一旦有上传源码包或是新添加的二进制包就立刻自动进行编译)，另外还可以用它来监控系统是否有新上传文件，如果有就发送通知。类似的工具还有 (它们都各有专长)：inosync(基于消息通知机制的文件夹同步服务)，iwatch(基于Inotify的程序，对文件系统进行实时监控)，以及lsyncd(一个守护进程(daemon)，使用rsync同步本地文件夹)。
Inotify甚至对传统的Unix工具也进行了改进，例如tail。使用inotail，同时加上-f选项，就可以取代每秒轮询文件的做法。此外，GNU 的coreutils从版本7.5开始也支持Inotify了，我们可以运行下面的命令来确认：
# strace -e inotify_init,inotify_add_watch tail -f ~log/syslog
[...]
inotify_init() = 4
inotify_add_watch(4, "/var/log/syslog", IN_MODIFY|IN_ATTRIB|IN_DELETE_SELF|IN_MOVE_SELF) = 1
从现在开始，通过轮询来确实文件是否需要重新读取的方法应该作为古董了。
在脚本中使用Inotify
Inotify机制并不局限于工具，在脚本语言中也完全可以享受Inotify的乐趣，如Python中可以使用pyinotify和inotifyx，Perl中有Filesys-Notify-Simple和Linux-Inotify2，Inotify的Ruby版有ruby-inotifyrb-inoty和fssm。
总结
综上所述，Inotify为Linux提供了一套高效监控和跟踪文件变化的机制，它可以实时地处理、调试以及监控文件变化，而轮询是一种延迟机制。对于系统管理员，关于实现事件驱动的服务如系统备份，构建服务以及基于文件操作的程序调试等，Inotify无疑提供了强大的支持。
注：本文绝大部分源自互联网