使用Bash文件重定向时为何文件创建与cat进程PID相同？

核心执行流程 #

当在Bash中执行cat file1 > file2时，实际的系统调用流程是：

• Bash首先解析重定向语法，主动调用openat()（或兼容的open()）系统调用创建并打开file2，同时将自身的标准输出（文件描述符fd=1）指向该文件。此时发起创建操作的进程是Bash，PID为Bash自身的进程ID，而非后续的cat进程PID 1234。
• Bash通过fork()创建子进程（PID=1234），该子进程会继承Bash已打开的所有文件描述符，包括指向file2的fd=1。
• 子进程调用execve()将自身镜像替换为cat程序，cat读取file1内容后，直接写入已重定向的标准输出（即file2）。

eBPF工具的显示矛盾原因 #

你观察到的异常现象，是该eBPF Sysmon工具的事件关联逻辑导致的：

• 工具捕获到了file2的创建事件（来自Bash的openat调用），但同时追踪到这个文件描述符后续被PID=1234的cat进程继承并实际写入内容。
• 工具的逻辑可能错误地将**最终使用该文件的进程PID（1234）**关联到了文件创建事件上，却又保留了创建操作的发起者（Bash）作为进程归属，从而出现了“归属Bash但PID为1234”的矛盾结果。

strace无法解释的原因 #

如果仅对cat进程（PID=1234）执行strace，是看不到file2的创建系统调用的——因为cat并未主动创建该文件，它只是继承了Bash预先打开的文件描述符。只有对Bash进程执行strace -f（跟踪主进程及所有子进程），才能完整看到Bash的openat创建操作、fork生成子进程、子进程execve加载cat的全流程。

内容的提问来源于stack exchange，提问作者Vojak