Linux下如何确定进程的启动调用方式？

好问题！要搞清楚Linux进程的启动途径——不管是来自init.d脚本、cron任务还是用户手动敲命令，光靠ps看启动参数确实不够。这里有几个实用的方法，按场景给你梳理：

1. 针对systemd发行版（Ubuntu 16.04+、CentOS 7+等） #

这是当前绝大多数主流发行版的首选排查方向：

• 用systemctl status <PID/进程名>，输出里会明确显示进程所属的systemd服务单元。比如如果是系统服务启动的，你会看到类似Loaded: loaded (/usr/lib/systemd/system/nginx.service; enabled; vendor preset: enabled)的行，直接关联到对应的service配置文件；如果是用户会话启动的程序（比如桌面应用），加上--user参数：systemctl --user status <PID>。
• 想挖得更深？用journalctl _PID=<PID>查看进程的启动日志，里面会包含触发源细节——是systemd的service自动启动，还是用户在命令行手动执行的命令。

2. 传统SysVinit（init.d脚本）场景 #

如果你的系统还在用旧的init系统：

• 先看父进程链：pstree -p <PID>，如果进程的父进程是init（PID 1），且对应的启动脚本在/etc/init.d/目录下，基本可以确定是通过init.d脚本启动的。
• 检查系统日志：比如/var/log/messages或/var/log/syslog（不同发行版位置有差异），搜索进程名，大概率能找到类似Starting xxx service via init script的启动记录。

3. Cron任务启动的进程 #

这类进程有明显的特征：

• 先看父进程：用pstree -p <PID>，如果父进程是cron或crond，那十有八九是cron任务触发的。
• 核对cron配置：系统级的看/etc/crontab、/etc/cron.d/目录下的文件；用户级的切换到对应用户，执行crontab -l查看定时任务列表，找匹配的命令。
• 查看cron日志：多数发行版的cron日志在/var/log/cron里，搜索进程名或对应的命令，能直接找到启动时间和触发的任务条目。

4. 用户手动CLI启动的进程 #

这类进程的特征和终端会话强相关：

• 父进程链线索：pstree -p <PID>，如果父进程是bash/zsh这类shell，而shell的父进程是终端进程（比如gnome-terminal、ssh），那就是用户在命令行手动启动的。
• 会话ID验证：用ps -o args= -o ppid= -o sid= <PID>，看输出里的SID（会话ID），如果和某个终端会话的SID一致，就能确定是在那个终端窗口里启动的。

终极工具：auditd审计系统 #

如果以上方法都没找到线索，试试启用系统审计工具auditd：

• 先安装并启动服务：Ubuntu上apt install auditd，CentOS上yum install auditd，然后systemctl start auditd。
• 用ausearch -x <进程名> -i查询进程的启动事件，输出会包含完整上下文：哪个用户、通过哪个程序/脚本触发的，甚至能追踪到启动它的父进程细节。

内容的提问来源于stack exchange，提问作者nomiko