如何使systemd-run scope不占用原应用服务绑定的TCP端口？

你遇到的问题根源是：从原服务进程中启动systemd-run --scope时，新创建的scope进程默认会继承父进程的所有文件描述符，包括原服务用于监听TCP端口的socket文件描述符。哪怕你的更新脚本完全不用这个端口，这个fd仍然被进程持有，导致原服务重启时无法重新绑定端口。

下面是几种可行的解决方法：

方法一：在脚本中主动关闭无关文件描述符 #

在更新脚本的开头添加一段代码，关闭所有标准输入、输出、错误之外的文件描述符，直接释放继承来的监听端口fd：

# 关闭所有非标准文件描述符
for fd in $(ls /proc/self/fd | grep -vE '0|1|2'); do
    exec "$fd>&-"
done

方法二：让systemd-run不继承父进程的文件描述符 #

修改systemd-run命令，添加--inherit=no参数，强制新进程不继承父进程的任何文件描述符：

systemd-run --scope --unit=appupgrade --inherit=no nohup $script_path -d & disown

注意：这个参数会切断新进程与父进程的所有fd关联，包括标准IO，如果脚本需要输出日志，建议提前在脚本内做好重定向（比如把输出写入指定日志文件）。

方法三：使用独立的systemd服务替代scope #

如果更新脚本是长期使用的，建议创建一个专门的systemd服务文件来运行它，隔离性更强。比如创建/etc/systemd/system/app-upgrade.service：

[Unit]
Description=应用更新脚本服务

[Service]
Type=oneshot
ExecStart=/path/to/your/upgrade-script.sh -d
# 禁止继承父进程文件描述符
Inherit=no
# 可选：增强隔离性的配置
PrivateTmp=true
NoNewPrivileges=true

然后通过以下命令启动：

systemctl daemon-reload
systemctl start app-upgrade.service

内容的提问来源于stack exchange，提问作者Daniel