在 Linux 操作系统中，每个用户进程都必须由一个父进程创建，这种层级结构构成了进程树。查看进程的父进程（Parent Process ID, PPID）最核心的方法是使用 ps 命令结合输出格式控制，或者使用 pstree 命令进行可视化展示。 掌握这一技能对于系统监控、故障排查以及优雅地终止服务至关重要，因为理解进程的来源能够帮助管理员快速定位异常进程的根源,避免误杀关键系统服务。
使用 ps 命令查看父进程 ID
ps（Process Status）命令是 Linux 下最强大且常用的进程查看工具，要查看父进程，关键在于关注输出列中的 PPID 列。
基础查看法
最简单的方式是使用 ps -l 或 ps -ef 命令，这两个命令都会默认显示 PPID 信息。
ps -l：以长格式显示当前用户的进程，输出中包含F、S、UID、PID、PPID、C、PRI、NI、ADDR、SZ、WCHAN、TTY、TIME、CMD。PPID列明确指出了父进程的 ID。ps -ef：以全格式显示所有用户进程，这是系统管理员最常用的组合，输出包含UID、PPID、C、STIME、TTY、TIME、CMD，这里的PPID位于第二列,非常直观。
精准定位特定进程的父进程
在实际运维中，通常需要查找特定程序（如 Nginx 或 MySQL）的父进程，此时可以结合 grep 命令使用，但更专业的做法是利用 pgrep 获取 PID 再传递给 ps，或者直接使用 ps 的 C 列过滤。
要查看 sshd 服务的父进程，可以执行：
ps -ef | grep sshd
在输出结果中，找到除 grep 进程之外的行，查看其 PPID 列对应的数字。sshd 的父进程是 PID 为 1 的 systemd 进程（在现代 Linux 系统中）。
自定义输出格式（专业方案）
为了脚本编写或数据分析的便利，ps 命令允许用户自定义输出列，使用 -o 选项可以只输出我们需要的关键信息，去除干扰项。
只显示进程 ID、父进程 ID 和命令名称：
ps -o pid,ppid,comm -p <PID>
将 <PID> 替换为具体的进程 ID，如果只想获取某个进程的父进程 ID 供后续脚本调用，可以使用：
ps -o ppid= -p <PID>
注意 ppid 后面的等号 ，它表示只输出值而不输出表头,这是自动化运维中的最佳实践。
使用 pstree 命令可视化进程层级
如果说 ps 命令提供了平面的列表视图，pstree 命令则提供了立体的树状视图,它能更直观地展示父子进程关系。
基础树状图
直接输入 pstree，系统将以 init（或 systemd）为根节点，列出当前系统的所有进程分支，进程名相同的会被合并显示，后面括号内的数字表示该进程的数量。
systemd───NetworkManager───2*[dhclient]
这表示 NetworkManager 是 systemd 的子进程，而它下面有两个 dhclient 子进程。
高亮显示特定进程及其父级
使用 -p 参数可以显示 PID，使用 -s 参数可以显示指定进程的父进程链。
查看 PID 为 1234 的进程及其父级关系：
pstree -ps 1234
输出结果会从 PID 1234 开始，一直向上追溯到 init 进程，这对于排查“谁启动了这个进程”非常有帮助,能够清晰地看到调用链。
结合 grep 过滤
当系统进程繁多时，可以结合 grep 查找特定服务的树状结构：
pstree -p | grep nginx
这将显示 Nginx 主进程及其 worker 进程的层级关系，通常可以看到 master 进程是父进程，worker 进程是子进程。
深入 /proc 文件系统（底层原理）
Linux 中的一切皆文件，进程信息也被实时映射到 /proc 目录下。直接读取 /proc 文件是获取父进程 ID 最底层、最权威的方法,不依赖于外部命令的版本差异。
每个进程在 /proc 下都有一个以其 PID 命名的目录，在该目录下，status 文件包含了该进程的详细状态信息。
要查看 PID 为 1234 的父进程，可以执行：
cat /proc/1234/status | grep PPid
输出结果类似：
PPid: 1000
这里的 1000 即为父进程 ID，也可以通过读取 /proc/1234/stat 文件获取，该文件的第四个字段即为 PPID，但 status 文件的可读性更好,更适合人工查看。
实际应用场景与故障排查
清理僵尸进程
僵尸进程是已经终止但其父进程尚未读取其退出状态的进程，查看父进程是解决僵尸进程的关键，使用 ps -ef 找到状态为 Z (Zombie) 的进程，查看其 PPID，如果该父进程还在运行且设计合理，应检查父进程代码；如果父进程已异常，可以通过杀死父进程来让 init 进程收养并清理这些僵尸子进程。
终止进程树
在关闭服务时，有时只杀掉了主进程，而子进程仍在运行导致端口占用，通过 pstree 找到主进程，然后使用 kill 命令终止主进程，通常情况下，主进程收到终止信号后会负责通知并停止其子进程，如果不行，可以使用 pkill -P <PPID> 来杀死指定父进程下的所有子进程。
追踪攻击来源
在安全审计中，如果发现一个可疑的恶意脚本进程，通过 ps -ef 或 pstree -s 查看其父进程，可以顺藤摸瓜找到该恶意进程是由哪个合法服务（如 Web 服务器）或用户会话启动的,从而快速定位入侵路径或漏洞入口。
相关问答
Q1：在 Linux 中，PID 为 1 的进程通常是哪个？它的父进程是谁？
A： 在现代大多数 Linux 发行版中，PID 为 1 的进程通常是 systemd（在较旧的系统中可能是 init），它是系统中所有其他用户空间进程的祖先，负责系统的初始化和管理服务，PID 1 没有传统的父进程,它是由内核在启动阶段直接创建的。
Q2：如何一次性杀死一个父进程及其所有的子进程？
A： 可以使用 pkill 命令的 -P 选项，该选项专门用于匹配父进程 ID，你需要知道父进程的 PID（假设为 1234），执行 pkill -P 1234 会杀死 PID 1234 的所有直接子进程，为了彻底清理，建议先杀死子进程，再杀死父进程：pkill -P 1234 && kill 1234，某些版本的 kill 命令也支持进程组操作，但这取决于进程的启动方式。
能帮助你更深入地理解 Linux 进程管理，如果你在日常运维中遇到过关于进程父子关系的棘手问题,欢迎在评论区分享你的案例和解决方案。
