Linux下如何区分文件新建与修改？及atime纳秒差异疑问

我需要一种方法判断文件是刚新建的（而非修改），原本采用如下代码实现：

const bool isCreated =
        ((f.atime.tv_sec == f.mtime.tv_sec) &&
         (f.mtime.tv_sec == f.ctime.tv_sec) &&
         (f.atime.tv_nsec == f.mtime.tv_nsec) &&
         (f.mtime.tv_nsec == f.ctime.tv_nsec));

但发现新建文件的atime纳秒部分可能与mtime/ctime存在细微差异，执行以下脚本验证：

# for i in {1..9} ; do echo $i; echo -n '...' > file$i; stat -c "%x %X ---  %y %Y ---- %z %Z" file$i ; sleep 2;  done

输出示例：

...
3
2024-07-26 11:08:49.942210415 +0300 1721981329 --- 2024-07-26 11:08:49.946210415 +0300 1721981329 ---- 2024-07-26 11:08:49.946210415 +0300 1721981329
...

请问：

1. 新建文件时atime纳秒值与mtime/ctime有差异的原因是什么？
2. 区分文件新建与修改的更优方法是什么？

问题解答 #

1. atime与mtime/ctime纳秒差异的原因 #

新建文件的操作并非原子性完成：

• 内核先创建空的文件元数据结构，此时会触发atime（访问时间）更新，因为创建过程需要访问文件的元信息；
• 紧接着执行写入内容的操作，这一步会同步更新mtime（内容修改时间）和ctime（元数据状态变更时间）。
  这两步操作存在纳秒级的时间间隔，因此秒级时间戳一致，但纳秒部分会出现细微差异。另外，部分文件系统的atime优化策略（比如relatime）也可能导致atime更新不严格同步，但新建场景下核心原因还是操作的分步执行时序。

2. 区分文件新建与修改的更优方法 #

方法一：依赖文件创建时间（推荐，需系统支持）

Linux内核2.6.29及以上版本、ext4/xfs等主流文件系统支持birthtime（文件创建时间）。代码中可通过statx系统调用获取stx_btime字段：

• 新建文件的birthtime与首次写入的mtime完全一致；
• 若文件被修改过，最新的mtime会晚于birthtime。
  注意：ext3等旧文件系统可能不支持该字段。

方法二：放宽时间戳判断阈值

如果无法使用birthtime，可以允许atime与mtime/ctime存在微小的纳秒差值（比如100000纳秒以内）。因为新建时的时间差是操作系统内部操作的延迟，远小于人为修改文件的时间间隔，不会出现误判。

方法三：结合ctime与文件状态

新建文件时，ctime和mtime会保持一致（写入内容触发了两者的同步更新），而atime可能提前。后续修改文件时，mtime和ctime都会更新，但修改已有内容时，ctime的更新时间会晚于初始的mtime。可以结合文件首次被检测到的状态辅助判断。

内容的提问来源于stack exchange，提问作者JenyaKh