深入理解 file 命令：文件类型的"照妖镜"

iOS门童
5 阅读3分钟

揭秘 Unix 系统中最实用的文件识别工具，从魔数检测到实际应用

一、什么是 file 命令

file 命令是 Unix/Linux/macOS 系统中识别文件类型的标准工具。与通过文件扩展名（如 .txt、.jpg）猜测不同，file 直接读取文件内容，通过分析文件的 魔数(Magic Number) 和内部结构来精确判断文件类型。

$ file /bin/ls
/bin/ls: Mach-O 64-bit executable x86_64

$ file photo.png
photo.png: PNG image data, 800 x 600, 8-bit/color RGBA, non-interlaced

$ file document.pdf
document.pdf: PDF document, version 1.4

二、为什么需要 file

1. 扩展名不可靠

# 文件扩展名可以随意修改
$ mv photo.png photo.txt
$ file photo.txt
photo.txt: PNG image data, 800 x 600, 8-bit/color RGBA

# file 命令依然能识别真实类型

2. 无扩展名的文件

# 可执行文件通常没有扩展名
$ file /usr/bin/swift
/usr/bin/swift: Mach-O universal binary with 2 architectures: [x86_64:Mach-O 64-bit executable x86_64] [arm64:Mach-O 64-bit executable arm64]

# 配置文件
$ file /etc/hosts
/etc/hosts: ASCII text

3. 二进制文件识别

$ file /usr/lib/libSystem.dylib
/usr/lib/libSystem.dylib: Mach-O 64-bit dynamically linked shared library x86_64

三、工作原理：魔数检测

file 命令的核心是 Magic Number（魔数） 检测。魔数是文件开头几个字节构成的特征签名，每个文件格式都有独特的魔数。

常见文件魔数

文件类型魔数（Hex）ASCII 表示
PNG89 50 4E 47‰PNG
JPEGFF D8 FF-
GIF47 49 46 38GIF8
PDF25 50 44 46%PDF
ZIP50 4B 03 04PK..
Mach-O (64位)CF FA ED FEÏúíþ
ELF7F 45 4C 46·ELF
Java ClassCA FE BA BEÊþº¾

查看魔数

# 使用 hexdump 查看文件头部
$ hexdump -C photo.png | head -1
00000000  89 50 4e 47 0d 0a 1a 0a  00 00 00 0d 49 48 44 52  |.PNG........IHDR|

# 使用 file 查看魔数识别过程
$ file -z document.zip
document.zip: Zip archive data, at least v2.0 to extract

四、基本用法

1. 识别单个文件

$ file app
app: Mach-O 64-bit executable arm64

2. 批量识别

$ file *
README.md:      ASCII text
main.swift:     Swift source text, ASCII text
app:            Mach-O 64-bit executable arm64
resources:      directory
logo.png:       PNG image data, 200 x 200, 8-bit/color RGBA

3. 递归识别目录

$ file -r /usr/bin/*

五、常用选项详解

-b：简洁模式（不显示文件名）

$ file -b /bin/ls
Mach-O 64-bit executable x86_64

-I：MIME 类型输出

$ file -I photo.png
photo.png: image/png; charset=binary

$ file -I index.html
index.html: text/html; charset=utf-8

$ file -I app
app: application/x-mach-binary; charset=binary

-N：不填充文件名（用于脚本）

$ file -N *

六、实际应用场景

场景 1：安全检查 - 识别可疑文件

# 检查上传文件的真实类型
$ file suspicious.exe.jpg
suspicious.exe.jpg: PE32+ executable (GUI) x86-64, for MS Windows
# 实际上是一个 Windows 可执行文件！

# 检查脚本是否伪装
$ file script.txt
script.txt: a /bin/sh script text executable, ASCII text
# 实际上是一个 shell 脚本

场景 2：开发调试 - 识别构建产物

# 检查编译输出的架构
$ file MyApp.app/Contents/MacOS/MyApp
MyApp: Mach-O universal binary with 2 architectures:
[x86_64:Mach-O 64-bit executable x86_64] 
[arm64:Mach-O 64-bit executable arm64]

# 检查静态库
$ file libmylib.a
libmylib.a: current ar archive random library

# 检查动态库依赖架构
$ file /usr/lib/libc++.dylib
/usr/lib/libc++.dylib: Mach-O universal binary with 2 architectures

场景 3：数据分析 - 处理未知文件

# 数据恢复时识别文件类型
$ file recovered_file_001
recovered_file_001: SQLite 3.x database, last written using SQLite 3.36.0

# 日志分析
$ file /var/log/system.log
/var/log/system.log: ASCII text, with very long lines

# 识别核心转储
$ file /cores/core.1234
/cores/core.1234: Mach-O 64-bit core file x86_64

场景 4：脚本自动化 - 条件处理

#!/bin/bash

for file in *.png *.jpg *.jpeg *.gif; do
    type=$(file -b "$file")
    
    if [[ $type == *"PNG"* ]]; then
        echo "Processing PNG: $file"
        optipng "$file"
    elif [[ $type == *"JPEG"* ]]; then
        echo "Processing JPEG: $file"
        jpegoptim "$file"
    fi
done

七、file 命令 vs 其他工具

工具用途与 file 的区别
ls列出文件只看扩展名和权限
stat文件元数据不看内容，只看文件系统信息
hexdump十六进制查看需要人工判断类型
xxd十六进制转储需要人工判断类型
libmagic文件识别库file 命令底层使用的库
mimetypeMIME 类型通常基于扩展名

八、常见问题

Q: file 命令如何判断文本编码？

$ file -I text.txt
text.txt: text/plain; charset=utf-8

$ file -I gbk.txt
gbk.txt: text/plain; charset=iso-8859-1

file 通过统计字节分布特征来判断编码，对于 UTF-8 的 BOM 标记也能识别。

结语

file 命令是系统管理、开发调试、安全分析的必备工具。它不依赖扩展名，直接读取文件本质，是识别文件类型的"照妖镜"。掌握 file 命令，你就能：

  • ✅ 识别可疑文件，提高系统安全
  • ✅ 调试构建问题，检查二进制格式
  • ✅ 自动化脚本处理，根据类型执行不同操作

在日常工作中多使用 file，你会发现它是解决"这文件到底是什么"问题的最佳答案。

参考资源

avatar
文章
阅读
粉丝