如何判断进程是通过exec()调用启动还是用户终端启动？

其实先得掰扯清楚一个关键点：所有用户空间进程本质上都是靠exec()启动的——哪怕你在终端手动敲命令，也是终端shell先fork出一个子进程，再用exec()把目标程序加载进去替换掉子进程的镜像。所以你真正要区分的应该是「进程是从交互式终端启动的」还是「被其他程序（比如脚本、后台服务）通过exec()调用触发的」，对吧？下面分享几个靠谱的判断思路：

1. 检查控制终端 #

终端手动启动的进程，一般会继承终端的控制终端；而很多由其他程序exec启动的进程（尤其是后台进程）要么没有控制终端，要么关联的不是用户的交互终端。

• 用命令查看：ps -o tty= <进程PID>，如果输出是?，说明没有控制终端，大概率是被其他程序exec启动的；如果是pts/0、tty1这类终端设备名，那可能是交互式启动，但还要结合其他信息。
• 代码里可以通过tcgetpgrp(STDIN_FILENO)或者读取/proc/<pid>/stat的第7个字段（tty_nr）来判断。

2. 追溯父进程链 #

终端手动启动的进程，父进程一般是你的交互shell（比如bash、zsh），再往上是终端模拟器、窗口管理器，最终到systemd/init；而exec启动的进程，父进程可能是脚本进程、后台服务，或者父进程已经退出（变成孤儿进程，被systemd接管，PPID变成1）。

• 用命令查看进程树：pstree -p <进程PID>，或者直接看/proc/<pid>/status里的PPID字段，顺着父进程往上查。比如如果父进程是某个Python脚本、Java程序，那基本是exec启动的；如果父进程是你的日常登录shell，那大概率是手动启动的。

3. 对比环境变量 #

交互式终端启动的进程会继承一堆终端特有的环境变量，而exec启动的进程可能没有这些，或者环境变量被调用方修改过：

• 查看进程环境变量：cat /proc/<pid>/environ | tr '\0' '\n'（因为环境变量之间用null分隔，转成换行方便看）。
• 典型的交互式变量：PS1（shell提示符，非交互式shell/进程一般没有）、TERM（终端类型，比如xterm-256color）、DISPLAY（图形终端的显示标识）。如果这些变量不存在，那很可能是exec启动的；反之则偏向于手动启动。
• 注意：有些程序在exec时会手动设置这些变量，所以这个方法只能做辅助判断。

4. 查看命令行参数 #

终端手动启动的进程，命令行一般是用户直接输入的完整命令；而exec启动的进程，命令行可能带有脚本路径、特定的调用参数，或者是被封装过的命令。

• 查看命令行：cat /proc/<pid>/cmdline | tr '\0' ' '。比如如果命令行里出现了脚本的路径（比如/usr/bin/python3 /home/you/script.py），那肯定是脚本通过exec启动的；如果是vim /home/you/note.txt这种，大概率是手动敲的。

5. 自己的程序？用代码判断 #

如果你是在开发自己的程序，可以在启动时检查标准输入是否是终端：

#include <unistd.h>
#include <stdio.h>

int main() {
    if (isatty(STDIN_FILENO)) {
        printf("看起来是从终端手动启动的\n");
    } else {
        printf("大概率是被其他程序exec()启动的\n");
    }
    return 0;
}

• 原理：isatty()会判断文件描述符是否关联到终端设备。终端手动启动的程序，标准输入默认是终端；而被exec启动的程序（比如被脚本调用、管道输入），标准输入可能是文件、管道或者null。
• 例外：如果调用方特意把标准输入重定向到终端，这个方法就失效了，所以还是要结合其他手段。

最后说一句 #

没有100%绝对准确的方法，因为进程的启动上下文是可以被伪造的（比如手动设置环境变量、重定向终端输入）。所以最好是结合上面的2-3个方法交叉验证，比如一个进程没有控制终端、没有PS1变量、父进程是后台服务，那基本可以确定是exec启动的；反之则偏向于手动启动。

内容的提问来源于stack exchange，提问作者Daniel Ortega