Linux更新报text file busy/ETXTBSY？服务进程占用与动态库替换解析

更新 Linux 时还能继续使用这个现象很多人看到的第一反应是“这很正常”但等你在生产环境里跑一次apt upgrade或者yum update更新后业务进程起不来、动态库符号找不到、服务状态全是 failed你就知道那个“正常”其实是一个被隐藏起来的 bug。这篇文章要拆的就是为什么包管理器替换正在运行的二进制文件时会报text file busy/ETXTBSY以及怎么在更新前、更新中、更新后把这个问题彻底收住。如果你负责 Linux 服务器运维或者经常在本地 Linux 环境里跑 nginx、Python 脚本、数据库、AI 推理服务建议直接收藏。下面先给结论再看复现和修复步骤。1. 核心现象速览先把这个 bug 的关键信息列出来后面所有操作都围绕这张表展开。项目说明触发场景apt / yum / dnf 更新正在运行的二进制文件或动态库典型报错text file busy、ETXTBSY、ld.so符号找不到受影响对象systemd 服务、nohup 进程、supervisor 管理的驻留进程判断方式lsof、fuser、/proc/PID/exe、/proc/PID/maps直接修复方法更新模块前先停止服务更新后启动服务自动修复机制needrestart 或 checkrestart 自动检测并重启受影响服务适用发行版Debian/Ubuntu 系列、RHEL/CentOS/Fedora 系列适合读者Linux 运维、后端开发、自建服务维护者是否支持批量支持按服务列表或主机列表批量处理风险等级中高处理不好会导致服务短时不可用或无法启动这里的核心矛盾很简单Linux 文件系统允许你覆盖磁盘上的文件但如果你覆盖的是一个正在被进程执行的 ELF 二进制内核会拒绝写入直接抛ETXTBSY。这本来是保护机制但在包管理器的批量更新场景里它会让更新流程卡住或者让服务“边更新边运行”进入不一致状态。2. 适用场景与操作边界先说清楚这个 bug 会在哪类机器上出现。最容易踩中的场景服务器上有常驻进程比如nginx、python main.py、java -jar app.jar、postgres、redis。你执行了系统全量更新包管理器试图替换nginx二进制或底层动态库。服务没有配置systemd的ExecStop优雅退出或者包管理器的 maintainer 脚本没有正确处理新旧版本切换。最容易踩的坑更新过程显示成功但服务使用的还是旧的 inode 和旧的代码页。更新后直接重启服务服务加载了新的动态库但主程序还是旧的出现符号缺失。内核模块更新后没有重新加载系统日志里出现kernel: watchdog: BUG: soft lockup之类的软锁警告。不适合这种处理方式的场景内核或显卡驱动更新这类更新通常要求完整重启。数据库大版本升级必须走官方迁移流程。容器镜像构建过程的宿主机更新尽量避免边跑构建边更新。合规边界也必须说明如果你在用这个方案管理公司生产环境先确认服务所有者、更新窗口、回滚方案不要在生产上直接边更新边跑关键交易链路。3. 从报错入手定位正在占用文件的进程假设你在 Debian/Ubuntu 上执行sudo apt upgrade日志里出现这样的内容Preparing to unpack .../nginx_1.22.1-1_amd64.deb ... Unpacking nginx (1.22.1-1) over (1.22.0-1) ... dpkg: error processing archive .../nginx_1.22.1-1_amd64.deb (--unpack): trying to overwrite /usr/sbin/nginx, which is also in package nginx-core 1.22.0-1 dpkg-deb: error: paste subprocess was killed by signal (Text file busy)关键信息是Text file busy简称ETXTBSY。它表示/usr/sbin/nginx正被某个进程当作可执行文件映射到了地址空间。内核不允许更新工具直接覆盖这个文件。先确认是哪个进程占用了它。# 查看所有进程中对 /usr/sbin/nginx 的引用 lsof /usr/sbin/nginx # 更精确一点只列出进程 PID 和命令名 lsof -t /usr/sbin/nginx如果 lsof 没装用 fuserfuser -v /usr/sbin/nginx输出示例USER PID ACCESS COMMAND /usr/sbin/nginx: root 1234 ...e nginx也可以直接看/proc目录确认进程的真实可执行文件指向ls -l /proc/1234/exe cat /proc/1234/maps | grep nginx | head -5当你看到/proc/1234/exe指向的文件路径是/usr/sbin/nginx (deleted)时说明磁盘文件已经被替换过但进程还在使用旧文件。这就是典型的“更新时还能继续使用”状态。动态库占用的情况类似但不像 nginx 主程序那么明显。例如 Python 服务占用了libpython3.11.so.1.0此时执行apt upgrade也容易报错或产生状态漂移# 查看某个动态库被哪些进程引用 lsof /usr/lib/x86_64-linux-gnu/libpython3.11.so.1.04. 复现实验最小环境还原 bug为了说清楚“更新时还能继续使用”为什么是个 bug可以在本地 Linux 环境做一个最小复现。首先写一个简单的 Python 驻留脚本# /tmp/demo_server.py import time print(server started, pid , time.time()) counter 0 while True: counter 1 time.sleep(5)后台启动它nohup python3 /tmp/demo_server.py /tmp/demo.log 21 echo $!此时用进程 PID 确认可执行文件cat /proc/PID/exe ls -l /proc/PID/exe然后尝试覆盖正在运行的脚本文件# 直接覆盖原脚本 echo print(hacked) /tmp/demo_server.pyPython 脚本是纯文本解释执行覆盖通常不会报ETXTBSY但进程实际读取的是磁盘上的新内容这已经是一个隐蔽问题。真正的ETXTBSY更容易出现在可执行二进制上。下面用一个小型 C 程序来演示// /tmp/demo_bin.c #include stdio.h #include unistd.h int main() { printf(demo binary running, pid %d\n, getpid()); sleep(60); return 0; }编译并运行gcc /tmp/demo_bin.c -o /tmp/demo_bin /tmp/demo_bin sleep 1 # 尝试覆盖正在运行的二进制 cp /tmp/demo_bin /tmp/demo_bin.bak echo int main(){return 1;} /tmp/evil.c gcc /tmp/evil.c -o /tmp/evil cp /tmp/evil /tmp/demo_bin第二次cp会提示cp: cannot create regular file /tmp/demo_bin: Text file busy这就是整个 bug 的最底层原理。生产环境的apt更新失败日志本质上是同一个问题只是包管理器会尝试卸载旧的、安装新的中途如果 maintainer 脚本没有停止服务就会被卡住或者留下不完整状态。复现完毕后清理测试进程和文件pkill demo_bin pkill -f demo_server.py rm -f /tmp/demo_bin /tmp/evil /tmp/demo_server.py5. 修复方案从手动到自动5.1 方案一更新前手动停止服务这是最直接的方式适合单机、服务数量不多的情况。# 停止受影响的服务 sudo systemctl stop nginx # 执行更新 sudo apt upgrade # 启动服务 sudo systemctl start nginx停止服务会释放二进制文件和动态库的占用包管理器可以正常覆盖。启动服务时加载的新文件版本和磁盘上的动态库一致不会出现符号缺失。5.2 方案二使用 needrestart 自动检测Debian/Ubuntu 环境强烈建议安装并配置 needrestart。sudo apt install needrestartneedrestart会在 apt 更新流程的末尾自动扫描正在运行的进程对比进程使用的二进制文件和动态库版本。如果发现有进程还在使用旧版本它会列出可重启的服务并给出重启建议。你可以把自动模式打开sudo sed -i s/#\$nrconf{restart} i;/\$nrconf{restart} a;/ /etc/needrestart/needrestart.conf这里的restart a表示自动重启受影响服务。如果你不想自动重启可以保持交互模式每次更新时手动确认。RHEL/CentOS/Fedora 系列可以使用checkrestart或者dnf check-restartdnf check-restart安装方式sudo dnf install yum-utils sudo check-restart5.3 方案三systemd 单元自动优雅退出如果你自己维护服务可以在 systemd 单元文件里增加 update 前的钩子。例如/etc/systemd/system/nginx.service.d/override.conf[Service] ExecStopPost/usr/bin/systemctl stop nginx ExecStartPre/usr/bin/systemctl start nginx但这只在服务管理启停时有效apt upgrade的维护脚本未必会执行这个自定义逻辑。更可靠的方式是在 systemd 单元中定义RefuseManualStop或使用BindsTo依赖关系让包管理器在更新前通过服务管理接口停机。实际运维中我建议优先走方案二。needrestart 已经覆盖了常见动态库和二进制文件比自己写钩子可靠。5.4 方案四更新后核对并修复如果更新已经跑完进程还在用旧文件可以先检查坏掉的服务systemctl --failed确认服务失败原因journalctl -u my-service --no-pager -n 50动态库版本不匹配时运行程序可能会报error while loading shared libraries: libssl.so.3: cannot open shared object file修复方式# 刷新动态库缓存 sudo ldconfig # 检查动态库链接情况 ldd /usr/bin/your-command如果ldd显示某个库指向了not found先用dpkg -S或rpm -qf找到这个库属于哪个软件包再确认是否已安装最新版本。dpkg -S libssl.so.3 rpm -qf /usr/lib64/libssl.so.36. 自动化更新与批量环境处理6.1 更新前资源占用检查脚本在更新大量服务之前先写一个脚本检查哪些进程占用关键动态库和二进制这能提前预判报错。#!/bin/bash # check_updated_processes.sh # 用法bash check_updated_processes.sh echo 检查 /usr/sbin/nginx 占用进程 lsof /usr/sbin/nginx 2/dev/null || echo 没有进程占用 echo 检查 /usr/lib/x86_64-linux-gnu/libssl.so.3 占用进程 lsof /usr/lib/x86_64-linux-gnu/libssl.so.3 2/dev/null || echo 没有进程占用 echo 检查所有 systemd failed 状态 systemctl --failed --no-pager更新命令前先执行一次能提前知道哪些服务会被影响。6.2 批量环境中串行更新在有多台服务器的环境里不建议使用批量并发更新因为并发更新可能会同时把多台机器的服务打挂。下面是一个简单的批量脚本按主机列表串行执行并在每台机器更新后等待健康检查结果#!/bin/bash # batch_update.sh HOSTS(192.168.1.10 192.168.1.11 192.168.1.12) USERNAMEdeploy for host in ${HOSTS[]}; do echo 开始更新 $host ssh $USERNAME$host \ sudo apt update sudo DEBIAN_FRONTENDnoninteractive apt upgrade -y sudo needrestart -r a echo $host 更新结束 done这里的needrestart -r a表示自动重启受影响服务。批量环境下如果使用了 Ansible可以改用ansible-playbook的serial: 1来控制更新节奏。6.3 批量任务失败重试批量更新最大的风险是中间某台机器失败。建议在脚本中加入重试逻辑# 失败自动重试 3 次 for retry in 1 2 3; do sudo apt upgrade -y break echo 第 $retry 次更新失败5秒后重试 sleep 5 done如果重试仍然失败记录日志并跳过不要卡死整个队列。7. 资源占用与性能观察7.1 更新过程中需要盯的系统指标更新期间建议并行观察几个指标# CPU 和平均负载 uptime top # 磁盘 IO iostat -x 1 5 # 内存占用 free -h # 正在进行的事务 ps aux --sort-%cpu | head -207.2 needrestart 的资源开销needrestart 会在更新后扫描进程和动态库。这个扫描过程在服务数量较少的机器上几乎不消耗资源但如果是大型服务器进程数上千可能在更新结束时带来短暂的 CPU 峰值。建议在业务低峰期执行更新。7.3 如何判断系统已经不稳定如果更新过程中出现下面几个信号说明系统正在进入不稳定状态平均负载持续升高即使没有业务请求。systemctl --failed出现新的 failed 单元。dmesg中出现大量 glibc、libssl 相关的动态链接错误。进程频繁崩溃日志里出现Cannot allocate memory或SIGSEGV。这时候如果还在继续使用系统不要继续安装新软件包先处理已经损坏的服务。8. 常见问题与排查方法下面这张表整理了我遇到这个问题后最常走的排查路径。问题现象可能原因排查方式解决方案apt 更新报 Text file busy正在运行的二进制被包管理器覆盖lsof path找到占用进程更新前systemctl stop对应服务更新后服务启动失败报动态库找不到新二进制加载旧库或库路径混乱ldd /usr/bin/xxx、ldconfig -p执行ldconfig确认库包已安装服务进程还在但功能异常进程使用了旧 inode 的代码ls -l /proc/PID/exe看是否有 deleted重启服务UPGRADE 日志正常但系统重启后内核模块加载失败内核驱动与当前内核版本不匹配dmesggrep -i moduledpkg 更新卡住重复执行 apt 不生效中断的 dpkg 锁或未完成配置ps auxgrep dpkgyum/dnf 更新报 rpmdb 损坏强制中断更新导致 rpm 数据库不一致rpm --rebuilddb备份数据库后重建 rpmdb批量更新时多台机器同时失败并发更新互相争抢资源或同一时间拉取仓库检查每台机器单独日志改为串行更新限制并发数9. 最佳实践与工程化建议9.1 第一次部署先小范围验证不要一上来就在生产全量更新。先找一台测试机执行完整更新流程记录下面的内容更新前dpkg -l或rpm -qa的软件包快照。服务的启动命令和启动参数。更新前后systemctl status的变化。9.2 保留最小可运行环境准备一个最小依赖环境方便在更新失败时快速启动服务。这个环境可以是 Docker 容器也可以是独立的 Python venv原则是尽量不要让宿主机上的一次全量更新破坏你最重要的服务。9.3 模型文件、输入素材、日志分目录管理如果你在 Linux 上运行 AI 推理服务比如本地部署的 OCR、TTS 或大规模语言模型更新系统或 Python 依赖前要把模型文件单独放目录日志单独放目录。更新时尽量只改系统软件包不要动不动升级整个 PyTorch 或 CUDA 版本。CUDA 更新很容易碰到显卡驱动不匹配的问题更新前先确认当前驱动版本再决定是否需要更新。9.4 日志和失败重试机制批量更新环境必须有日志。把每台机器的更新输出重定向到独立日志文件LOG_DIR/var/log/update_records mkdir -p $LOG_DIR LOG_FILE$LOG_DIR/$(date %Y%m%d%H%M%S)_$(hostname).log sudo apt upgrade -y 21 | tee $LOG_FILE9.5 接口服务要限制访问范围如果你在服务器上开放了 WebUI 或 API 服务更新期间建议做好访问控制。不要因为更新顺便把所有端口全部暴露容易扩大安全风险。9.6 涉及人脸、声音、版权素材时的边界如果这台 Linux 服务器跑的是数字人、声音克隆、图像生成或视频合成工具更新前后的素材使用必须确认授权。任何人脸、声音、版权图像的处理都要有授权依据不要因为工具本身可用就随意处理他人素材。9.7 发布或商用前的效果复核更新完系统后如果服务涉及图像识别、语音合成等 AI 任务一定要重新跑一遍标准测试用例。验证输出质量和更新前保持一致。如果输出退化优先检查模型权重文件是否被动到再检查推理框架版本是否被降级或升级。10. 总结与下一步这次排查的起点是 update 日志里的Text file busy但真正的问题不在报错本身而在“更新时系统还能继续使用”这张假象造成的信任感上。进程还能跑、页面还能打开、服务状态还是 active这些都不等于状态一致。只要磁盘上的二进制或动态库已经被替换进程实际上已经持有旧版本的文件映射下次重启随时会翻车。我建议你先做三件事在测试环境复现一次这个报错确认lsof和fuser的输出格式。给生产环境安装 needrestart并把自动重启参数调成a先在一台低负载机器上验证。写一个更新前脚本检查关键服务的二进制占用情况。如果你平时还要管理多台机器可以进一步把更新流程和systemd --failed健康检查串起来做成无人值守的批量更新任务。后续如果发现更新后某个服务虽然重启成功但行为异常优先看看 services 的ExecStartPre和ExecStopPost钩子有没有被包管理器覆盖再检查动态库版本。这个 bug 不复杂但它能在凌晨 2 点把一次本来只需要 5 分钟的例行更新拖成 2 小时故障演练。提前把它处理好省下的时间都算自己的。