Theo Dõi Thay Đổi File Trên Linux Với Inotifywait [2026]

Khi quản trị máy chủ, việc tự động hóa các tác vụ dựa trên thay đổi của tệp tin là nhu cầu vô cùng phổ biến. Ví dụ: bạn muốn tự động reload Nginx khi file cấu hình thay đổi, hay tự động nén ảnh khi người dùng upload lên thư mục. Để làm được điều này, bạn cần một cơ chế giúp theo dõi thay đổi file trên Linux theo thời gian thực (real-time). Trong bài viết này, chúng ta sẽ cùng tìm hiểu về inotifywait Linux — công cụ mạnh mẽ và nhẹ nhàng nhất để giải quyết bài toán này.

inotifywait Linux (nằm trong gói inotify-tools) là một command-line utility giúp theo dõi thay đổi file trên Linux một cách tức thời. Công cụ này hoạt động dựa trên inotify — một kernel subsystem có sẵn trong Linux từ phiên bản kernel 2.6.13, cho phép các ứng dụng nhận thông báo ngay khi có sự kiện filesystem xảy ra. Việc sử dụng lệnh inotifywait giúp hệ thống của bạn hoạt động hiệu quả mà không tốn tài nguyên.

Khác với cách tiếp cận polling (chạy vòng lặp kiểm tra liên tục), inotifywait đăng ký sự kiện trực tiếp với kernel và chỉ hoạt động khi có thay đổi thực sự. Bài viết này sẽ hướng dẫn bạn chi tiết từ cách cài đặt, các tham số cấu hình, đến các kịch bản thực tế sử dụng inotifywait để theo dõi thay đổi file trên Linux hiệu quả nhất. Việc thấu hiểu các tham số cấu hình bottom và inotifywait là chìa khóa để vận hành server mượt mà.

Cơ Chế Hoạt Động Của inotify Kernel Subsystem

Để hiểu tại sao inotifywait là giải pháp tối ưu để theo dõi thay đổi file trên Linux, chúng ta cần tìm hiểu cơ chế hoạt động của kernel subsystem inotify. inotify hoạt động ở tầng VFS (Virtual File System) của Linux. Mỗi khi một ứng dụng gọi các hàm syscall như open(), write(), hay unlink(), VFS sẽ gửi một sự kiện đến inotify subsystem để hỗ trợ theo dõi thay đổi file trên Linux. Quá trình theo dõi thay đổi file trên Linux này được xử lý hoàn toàn tự động.

inotify duy trì một danh sách các watch descriptors (mã định danh theo dõi) trỏ đến các inode của file hoặc directory. Khi có sự kiện xảy ra, kernel sẽ đẩy sự kiện đó vào một hàng đợi (event queue) trong bộ nhớ. Lệnh inotifywait Linux chỉ việc đọc dữ liệu từ hàng đợi này thông qua file descriptor. Cơ chế push event này giúp loại bỏ hoàn toàn chi phí quét đĩa (disk scanning), cho phép bạn theo dõi thay đổi file trên Linux ở quy mô lớn với chi phí CPU gần như bằng 0.

Tại Sao Nên Dùng inotifywait Thay Vì Cơ Chế Polling?

Nhiều nhà phát triển thường viết các đoạn script đơn giản sử dụng vòng lặp while true; do sleep 1; done để kiểm tra file. Tuy nhiên, khi cần theo dõi thay đổi file trên Linux ở quy mô lớn, cơ chế polling này bộc lộ 3 điểm yếu lớn:

Lãng phí I/O ổ cứng: Polling liên tục gọi lệnh stat hoặc ls để kiểm tra thuộc tính file, khiến ổ cứng phải hoạt động liên tục ngay cả khi không có bất kỳ thay đổi nào.
Độ trễ cao: Nếu bạn đặt thời gian sleep là 5 giây, dữ liệu thay đổi ở giây thứ 1 phải đợi đến giây thứ 5 mới được phát hiện. Nếu giảm sleep xuống 0.1 giây, CPU của bạn sẽ bị quá tải.
Không scale được: Khi thư mục cần theo dõi chứa hàng vạn file, việc quét toàn bộ thư mục để tìm file thay đổi sẽ cực kỳ chậm và tốn RAM.

inotifywait Linux giải quyết triệt để tất cả các vấn đề trên nhờ cơ chế event-driven của kernel: không tốn I/O, độ trễ bằng 0 (phản hồi trong mili giây) và khả năng mở rộng mạnh mẽ khi theo dõi thay đổi file trên Linux. Việc theo dõi thay đổi file trên Linux bằng giải pháp event-driven giúp tiết kiệm chi phí vận hành máy chủ đáng kể.

Hướng Dẫn Cài Đặt Gói inotify-tools Trên Linux

Để bắt đầu sử dụng lệnh inotifywait, bạn cần cài đặt gói công cụ inotify-tools. Gói này có sẵn trên kho lưu trữ chính thức của hầu hết các bản phân phối Linux phổ biến. Việc cài đặt đúng cách giúp quy trình theo dõi thay đổi file trên Linux diễn ra trơn tru:

Ubuntu / Debian

sudo apt update
sudo apt install inotify-tools -y

Fedora / RHEL / Rocky / AlmaLinux

Đối với CentOS hoặc RHEL, bạn cần kích hoạt kho lưu trữ EPEL trước khi cài đặt:

sudo dnf install epel-release -y
sudo dnf install inotify-tools -y

Arch Linux

sudo pacman -S inotify-tools

Gentoo

sudo emerge --ask sys-fs/inotify-tools

Xác nhận cài đặt thành công

Sau khi cài đặt xong, bạn có thể kiểm tra phiên bản hoạt động bằng cách chạy lệnh:

inotifywait --help | head -n 1

Các Sự Kiện Filesystem Mà inotifywait Theo Dõi

Khi sử dụng inotifywait để theo dõi thay đổi file trên Linux, bạn có thể lọc chi tiết các loại tác động vật lý lên tệp tin. Dưới đây là bảng tổng hợp các sự kiện (events) quan trọng nhất giúp theo dõi thay đổi file trên Linux:

Tên Sự Kiện (Event)	Mô Tả Chi Tiết
`access`	File được đọc hoặc mở ra để xem thông tin.
`modify`	Nội dung file được chỉnh sửa (ghi đè hoặc ghi nối đuôi).
`attrib`	Metadata thay đổi (chỉnh sửa permission, owner, timestamps).
`close_write`	File mở ở chế độ ghi được đóng lại (tương đương lưu file xong).
`close_nowrite`	File mở ở chế độ chỉ đọc được đóng lại.
`open`	Một file hoặc thư mục được mở ra.
`moved_to`	Có file hoặc thư mục được di chuyển vào vùng theo dõi.
`moved_from`	Có file hoặc thư mục bị di chuyển ra khỏi vùng theo dõi.
`create`	File hoặc thư mục mới được tạo ra trong vùng theo dõi.
`delete`	File hoặc thư mục bị xóa bỏ hoàn toàn.

Sử Dụng inotifywait: Từ Cơ Bản Đến Nâng Cao

1. Theo dõi một lần và thoát (One-shot Mode)

Theo mặc định, inotifywait sẽ lắng nghe cho đến khi có một sự kiện bất kỳ xảy ra trong thư mục chỉ định, in thông tin đó ra màn hình rồi tự động kết thúc. Đây là chế độ one-shot để theo dõi thay đổi file trên Linux:

inotifywait /tmp/watchdir

Mở một cửa sổ terminal khác và thử tạo một file mới trong thư mục đó:

touch /tmp/watchdir/test.txt

Ngay lập tức, tiến trình inotifywait ở terminal trước đó sẽ in ra event và tự động thoát:

/tmp/watchdir/ CREATE test.txt

2. Theo dõi liên tục không thoát (Monitor Mode)

Để giữ cho lệnh inotifywait chạy liên tục dưới nền làm công cụ giám sát dài hạn nhằm theo dõi thay đổi file trên Linux, bạn cần thêm tùy chọn -m (hoặc --monitor):

inotifywait -m /tmp/watchdir

3. Lọc sự kiện cụ thể bằng option -e

Thay vì nhận toàn bộ các event làm loãng thông tin, bạn có thể lọc riêng các sự kiện ghi đè hoặc tạo mới bằng option -e để theo dõi thay đổi file trên Linux chính xác hơn:

# Chỉ nhận thông báo khi có file mới được tạo hoặc bị xóa
inotifywait -m -e create,delete /tmp/watchdir

# Chỉ theo dõi khi file sửa xong (lưu xong). Việc theo dõi thay đổi file trên Linux bằng cách bắt sự kiện ghi sẽ giúp tối ưu logic code.
inotifywait -m -e close_write /tmp/watchdir

# Theo dõi nhiều event riêng lẻ
inotifywait -m -e create -e close_write -e delete /tmp/watchdir

4. Theo dõi đệ quy toàn bộ thư mục con (Recursive)

Để theo dõi thay đổi file trên Linux đệ quy bao gồm cả các thư mục con cấp sâu hơn, hãy sử dụng tùy chọn -r. Đây là option cực kỳ hữu ích khi theo dõi thay đổi file trên Linux cho các project lớn. (hoặc --recursive):

inotifywait -m -r -e close_write /var/www

5. Định dạng đầu ra tùy biến dễ parse

Để kết xuất dữ liệu sang các ứng dụng khác hoặc pipe vào vòng lặp shell script, bạn có thể tùy biến định dạng bằng --format kết hợp với định dạng thời gian --timefmt:

inotifywait -m -q --timefmt '%F %T' --format '%T | %e | %w%f' -e close_write /tmp/watchdir

Lệnh này sẽ trả về định dạng sạch:

2026-06-19 14:30:11 | CLOSE_WRITE,CLOSE | /tmp/watchdir/report.csv

Trong đó các ký tự đặc biệt có ý nghĩa:

%w — Đường dẫn thư mục đang được theo dõi.
%f — Tên tệp tin phát sinh sự kiện.
%e — Danh sách các sự kiện được kích hoạt.
%T — Thời gian xảy ra sự kiện định dạng theo --timefmt.

6. Loại trừ file không muốn theo dõi

Nếu bạn muốn bỏ qua các file tạm, file log hoặc thư mục ẩn như .git khi theo dõi thay đổi file trên Linux, bạn có thể sử dụng biểu thức chính quy (regular expressions) thông qua tùy chọn --exclude hoặc --excludei (không phân biệt hoa thường):

# Loại trừ các file .xml
inotifywait -m /path/to/dir --exclude ".*.xml"

# Bỏ qua thư mục .git khi theo dõi thay đổi file trên Linux cho project
inotifywait -m -r --excludei '\.git/' /repo

# Chỉ theo dõi file .py
inotifywait -m -r --include '.*\.py$' /project

7. Tự động thoát khi hết thời gian chờ (Timeout)

Tùy chọn -t (hoặc --timeout) cho phép chỉ định số giây inotifywait sẽ tự động dừng nếu không phát sinh bất kỳ sự kiện nào trong quá trình theo dõi thay đổi file trên Linux:

# Thoát sau 30 giây nếu không có event
inotifywait -t 30 -e close_write /tmp/watchdir

Lưu Ý Quan Trọng: Sự Khác Biệt Giữa close_write và modify

Đây là sai lầm phổ biến nhất của các DevOps khi lập trình shell script để theo dõi thay đổi file trên Linux. Nhiều người sử dụng option -e modify để phát hiện khi file được sửa. Tuy nhiên, sự kiện modify sẽ được kích hoạt **mỗi lần ứng dụng ghi dữ liệu xuống đĩa**.

Thực tế thì, khi một trình soạn thảo (như Vim hoặc VS Code) lưu file, nó có thể chia nhỏ dữ liệu và thực hiện 3 đến 5 lần ghi đè liên tục trong một phần mười giây. Điều này khiến script của bạn bị kích hoạt trùng lặp liên tục, gây lãng phí CPU.

Giải pháp tối ưu nhất là sử dụng sự kiện close_write. Sự kiện này chỉ được kích hoạt duy nhất một lần khi file đã hoàn tất quá trình ghi dữ liệu và tiến trình thực thi thực hiện đóng file (close syscall). Nhờ đó, script tự động hóa của bạn chỉ chạy đúng 1 lần duy nhất cho mỗi lần lưu file.

# SAI — fire nhiều lần per save
inotifywait -m -e modify /var/log/app.log

# ĐÚNG — fire 1 lần khi save xong
inotifywait -m -e close_write /var/log/app.log

Vượt Qua Giới Hạn max_user_watches Trên Hệ Thống Lớn

Khi bạn sử dụng tính năng theo dõi đệ quy (-r) trên các thư mục chứa số lượng file cực lớn (như thư mục node_modules), hệ thống có thể quăng ra lỗi và từ chối hoạt động:

Failed to watch /var/www; upper limit on inotify watches reached!
Please increase the amount of inotify watches allowed per user via
`/proc/sys/fs/inotify/max_user_watches'.

Nguyên nhân là do kernel Linux giới hạn số lượng watch directory mặc định trên mỗi người dùng để bảo vệ RAM. Bạn có thể kiểm tra giới hạn này bằng lệnh:

cat /proc/sys/fs/inotify/max_user_watches
# Mặc định thường là 8192

Để khắc phục triệt để và cho phép theo dõi thay đổi file trên Linux ở quy mô lớn, bạn cần tăng tham số max_user_watches trong cấu hình hệ thống để theo dõi thay đổi file trên Linux không giới hạn:

# Tăng tạm thời (mất sau khi reboot máy)
sudo sysctl fs.inotify.max_user_watches=524288

# Cấu hình vĩnh viễn
echo 'fs.inotify.max_user_watches=524288' | sudo tee /etc/sysctl.d/90-inotify.conf
sudo sysctl --system

5 Ví Dụ Thực Tế: Script Tự Động Xử Lý Khi File Thay Đổi

1. Tự động build dự án khi sửa mã nguồn

#!/usr/bin/env bash
while true; do
    inotifywait -e modify,create,delete -r /home/project/src
    make build
done

2. Tự động xử lý tệp CSV khi được upload lên máy chủ

#!/usr/bin/env bash
# Tự động xử lý và theo dõi thay đổi file trên Linux
WATCH_DIR="/var/spool/incoming"
inotifywait -m -q --format '%w%f' -e close_write "$WATCH_DIR" |
while read -r filepath; do
    if [[ "$filepath" == *.csv ]]; then
        echo "Processing CSV: $filepath"
        python3 process_data.py "$filepath"
    fi
done

3. Giám sát tệp log và gửi cảnh báo Slack tức thời

Bạn có thể theo dõi tệp tin log để theo dõi thay đổi file trên Linux và tự động bắn cảnh báo webhook về nhóm chat Slack mỗi khi phát hiện từ khóa ERROR:

#!/usr/bin/env bash
inotifywait -m -q --format '%T %w%f' --timefmt '%H:%M:%S' -e modify /var/log/app.log |
while read -r time filepath; do
    if grep -q "ERROR" "$filepath"; then
        curl -X POST "https://hooks.slack.com/services/XXX/YYY/ZZZ" \
            -H "Content-Type: application/json" \
            -d "{\"text\":\"[$time] ERROR phát hiện trong file $filepath\"}"
    fi
done

4. Đồng bộ hóa thư mục tự động (Live Sync Backup)

#!/usr/bin/env bash
SOURCE="/var/www/uploads"
DEST="/backup/uploads"
inotifywait -m -q -r --format '%w%f' -e close_write,moved_to "$SOURCE" |
while read -r filepath; do
    relative_path="${filepath#$SOURCE/}"
    mkdir -p "$DEST/$(dirname "$relative_path")"
    cp -p "$filepath" "$DEST/$relative_path"
    echo "Đồng bộ thành công: $relative_path"
done

5. Tự động reload Nginx khi thay đổi cấu hình vhost

#!/usr/bin/env bash
inotifywait -m -q -e close_write /etc/nginx/conf.d/ |
while read -r filepath; do
    if nginx -t 2>/dev/null; then
        sudo systemctl reload nginx
        echo "Nginx reloaded successfully: $filepath"
    fi
done

So Sánh Chi Tiết: inotifywait vs incron vs fswatch

Bên cạnh inotifywait Linux, bạn có thể tham khảo một số giải pháp giám sát khác tùy thuộc vào môi trường phát triển của mình:

Tiêu chí	inotifywait (inotify-tools)	incron (Inotify Cron)	fswatch
Hỗ trợ OS	Chỉ Linux	Chỉ Linux	Đa nền tảng (macOS, Windows, Linux)
Mô hình chạy	Chạy CLI, pipe vào script shell	Chạy daemon, cấu hình qua file table	Chạy CLI độc lập
Mục đích phù hợp	Viết script Bash, automation linh hoạt	Tự động hóa tác vụ hệ thống cố định	Phát triển ứng dụng đa nền tảng

Xử Lý Atomic Save Của Editor

Nhiều editor (vim, VS Code…) lưu file theo cơ chế atomic save: ghi ra file tạm, rồi rename đè lên file gốc. Trong trường hợp này, thay đổi không hiện dưới dạng close_write mà là moved_to hoặc create.

Để bắt đầy đủ cả 2 trường hợp, theo dõi cả close_write và moved_to:

inotifywait -m -e close_write,moved_to /path/to/dir

Chạy inotifywait Với systemd

Để chạy inotifywait dưới dạng service, tạo unit file systemd:

[Unit]
Description=Watch incoming directory and process CSV files
After=network.target

[Service]
Type=simple
ExecStart=/usr/local/bin/csv-processor.sh
Restart=on-failure
RestartSec=5

[Install]
WantedBy=multi-user.target

sudo systemctl daemon-reload
sudo systemctl enable csv-processor
sudo systemctl start csv-processor

Giới Hạn Cần Biết

Chỉ hoạt động trên local filesystem: NFS, CIFS, FUSE có thể không report event từ host khác. Với network filesystem, cần dùng polling hoặc cơ chế khác.
Mỗi directory tiêu tốn 1 watch: theo dõi recursive directory lớn cần tăng max_user_watches.
Race condition với subdirectory mới: directory tạo sau khi inotifywait -r khởi chạy có thể miss event trong khoảng thời gian ngắn trước khi watch được add.
inotifywatch: công cụ kèm trong inotify-tools cho thống kê event (file nào accessed bao nhiêu lần), khác với inotifywait stream event từng cái một.

Kết Luận

Tóm lại, việc sử dụng inotifywait để theo dõi thay đổi file trên Linux là một giải pháp cực kỳ hiệu quả, giúp tiết kiệm tài nguyên máy chủ so với cơ chế polling cũ kỹ. Nhờ cơ chế event-driven mạnh mẽ của kernel, hệ thống của bạn có thể phản hồi tức thì với mọi thay đổi của tệp tin mà không gặp độ trễ. Quyết định lựa chọn theo dõi thay đổi file trên Linux giúp kiến trúc hệ thống hoạt động ổn định và tối ưu. Tóm lại, việc theo dõi thay đổi file trên Linux mang lại nhiều giá trị thực tế.

Hãy nhớ áp dụng đầy đủ các tùy chọn tối ưu như close_write thay vì modify để bắt sự kiện lưu file chính xác nhất, đồng thời chủ động tăng giới hạn max_user_watches khi triển khai trên các thư mục dự án lớn.

Để tối ưu hiệu năng toàn diện cho máy chủ của bạn, hãy đọc thêm bài viết về cách giảm thời gian phản hồi TTFB của server để tăng tốc độ phản hồi web, hoặc tham khảo thêm cách thiết lập hệ thống cảnh báo qua cài đặt CrowdSec WAF bảo vệ máy chủ.