用 fs_usage 实时追踪文件系统活动
实时观察磁盘上的每一次 open、write、stat 调用，并看到具体是哪个进程发起的。
运行 `sudo fs_usage -w -f filesys`，即可流式查看所有文件系统调用及对应的进程。
01命令
命令
$ sudo fs_usage -w -f filesys | grep -i Documents02作用说明
fs_usage 是 Apple 基于 DTrace、专为文件系统事件打造的系统调用追踪器，回答"到底是谁在往这个目录写文件"远比任何活动监视器好用。-w 参数加宽输出避免长路径被截断，-f filesys 只显示文件系统流量（网络流量用 -f network）。可用 grep 过滤特定路径，或直接传入 PID 只看某个进程。
03风险
!注意: SIP 保护会阻止追踪大多数 Apple 系统进程；第三方应用可正常追踪。
04撤销
✓无需撤销——该命令不会改变持久状态。
05来源
- macOS fs_usage — report system calls and page faults related to filesystem activity依据: Documents fs_usage's filesys filter, -w wide output and -f filter classes.
最后验证: 2026-09-17 · 分类: 系统与设置