Linux 文件搜索：从证据口径到安全批处理

上一部分把网络问题拆成了一条证据链。进入文件系统以后，同样的思路依然有效：先说清楚要找的对象，再选择能证明这件事的工具，最后解释结果里还缺哪些信息。

“帮我找一下配置”这句话至少可能有四种意思：当前 shell 会执行哪个同名命令；某个路径是否出现在索引中；当前目录树里哪些节点满足属性条件；哪些文本行包含指定内容。它们分别属于命令解析、路径索引、实时遍历和内容检索。工具选错了，即使输出看起来合理，也可能回答了另一个问题。

这一部分会把 PATH、locate、find、grep 和 rg 放进同一张职责图，然后重点拆开 find 的表达式、时间与权限边界、NUL 安全批处理、符号链接和删除流程。所有写操作都先在一次性实验树里预览，随后验证结果并清理。

先定义搜索对象与证据口径

搜索之前先补全一句话：我要在什么范围、以什么时刻为准，按什么条件找到什么对象，结果准备拿来做什么。 这几个限定词会直接决定工具和风险。

时间口径也要写出来。locate 反映数据库生成时刻，find 反映遍历期间陆续观察到的状态，并不存在一个冻结的全树快照。如果另一个进程正在创建、重命名或删除文件，搜索结果可能混合多个时刻。后续动作越危险，越要缩短“观察”和“执行”之间的间隔，并在执行后重新核对。

PATH 回答的是命令解析，不是全盘找文件

当命令名不含 / 时，Bash 会先处理别名展开，再按函数、内建命令和 $PATH 查找外部可执行文件。PATH 是用冒号分隔的目录列表，顺序有意义；前面的目录先命中，后面的同名程序不会自动获得机会。

type -a python
command -v python
printf '%s\n' "$PATH" | tr ':' '\n'

type -a 适合交互排查，因为它会展示多个解释结果。command -v 适合脚本询问“当前环境将怎样解释这个名字”，但输出格式仍要结合目标 shell 的约定。which 往往只做外部路径查找，可能漏掉函数和内建，因此不应把它当作 shell 解析的唯一证据。

Bash 还会缓存已经找到的外部命令路径。刚调整 PATH 或替换程序后，若观察与预期不一致，可以先查看和清理缓存：

hash
hash -t python
hash -r

命令名一旦包含 /，例如 ./tool 或 /opt/tools/tool，shell 直接尝试该路径，不再用 PATH 寻找。这里的 . 是明确的当前目录，不应为了省事把可写目录或空元素加入高权限脚本的 PATH。否则同名恶意程序可能抢在可信程序之前被执行。

find 可以找到名为 tool 的文件，却不能证明它会被当前 shell 选中；文件也可能没有执行位，或位于不在 PATH 的目录。搜索对象不同，结论必须分开写。

locate 用索引换速度，也引入了时间差

locate 不逐个打开目录，而是在路径数据库中匹配名称。这让大范围模糊搜索很快：

locate ssh_config
locate -b 'sshd_config'
locate -i '*.service'

普通字符串通常匹配整条已索引路径中的子串；带通配符的模式按实现规则匹配，最好用引号保护，避免 shell 抢先展开。-b 把匹配对象收窄到最后一个路径分量。不同发行版可能使用 GNU locate、plocate 或其他实现，选项并非完全一致，脚本应先检查 locate --help 和版本。

数据库由 updatedb 一类程序周期性生成。它包含哪些根、排除哪些路径、多久更新一次，都由环境配置决定。因此会出现两个对称问题：

• 数据库生成后新建的文件，locate 暂时看不到。
• 数据库生成后删除的文件，旧路径仍可能被列出。

部分实现提供 -e 或 --existing，会在输出前补做存在性检查，可以过滤已删除路径，却不能补回从未进入数据库的新路径。需要“当前树里现在有什么”时，应转向范围明确的 find，而不是把系统级索引更新当作每次搜索的固定前置动作。

隔离实验里，数据库先记录 indexed-note.txt。随后创建 fresh-note.txt，旧数据库查询返回状态 1，而实时 find 立即找到它；删除已索引文件后，普通 locate 仍输出旧路径，存在性检查则不再输出。重新生成数据库后，新文件才进入索引。这说明速度来自预计算，时间差不是偶发故障，而是设计的一部分。

find 的骨架是起点加表达式

可以把一条 find 命令拆成两半：

find  [遍历策略]  起点...  [测试、动作与操作符组成的表达式]

起点决定“在哪棵树里找”

下面三条命令的证据范围不同：

find . -name '*.conf' -print
find /etc /usr/local/etc -name '*.conf' -print
find "$HOME/projects" -maxdepth 3 -type f -print

GNU find 在省略起点时通常使用 .，但可移植脚本应显式写出起点。-maxdepth 0 只检查起点自身；-maxdepth 1 再包含直接子项。起点若以 - 开头，容易被解析成表达式，可使用 ./-name 或绝对路径消除歧义。

模式要交给 find，就要阻止 shell 先展开：

find . -name '*.log' -print

若写成 -name *.log，shell 会在启动 find 前处理 *.log。当前目录恰有多个匹配时，find 收到多个参数，可能直接报错；恰有一个匹配时，命令可能悄悄变成固定文件名，最难察觉。

测试、动作和选项都参与语义

-type f、-name、-mtime 这类测试返回真或假；-print、-exec、-delete 这类动作既可能产生副作用，也有真假结果；-maxdepth、-xdev 等选项改变整体遍历。

如果完全没有给表达式，find 等价于打印全部访问到的节点。若表达式只有测试且没有抑制默认打印的动作，完整表达式为真的节点会执行隐含 -print。一旦写入显式 -print、-exec、-delete、-printf 等动作，默认打印就不再兜底，动作放在哪个逻辑分支非常重要。

find . -type f -name '*.log'           # 测试为真时隐含打印
find . -type f -name '*.log' -print    # 明确写出动作，更适合审阅

隐含 AND、优先级和短路控制动作

相邻的两个主项之间隐含 -a。从高到低可以先记住：括号、!、AND、OR。求值从左向右进行；AND 左侧为假时跳过右侧，OR 左侧为真时跳过右侧。

find . -type f -name '*.log' -o -name '*.conf' -print

它不是“打印所有 log 或 conf”。隐含分组更接近：

( -type f AND -name '*.log' ) OR ( -name '*.conf' AND -print )

.log 让 OR 左侧为真，右侧连同 -print 被短路；.conf 才走到打印动作。正确写法把名称条件组成一组，再统一执行动作：

find . -type f \( -name '*.log' -o -name '*.conf' \) -print

括号和 ! 对 shell 也有特殊意义，所以要用反斜杠或引用保护。复杂表达式写完后，可以先用 -printf '%y %p\n' 输出类型与路径，逐个检查边界候选。

名称、路径与正则匹配的对象不同

name 与 path 先区分最后一段和整条路径

-name 只匹配 basename，也就是去掉前导目录后的最后一个分量；-path 匹配 find 实际构造的整条候选路径。

find project -type f -name '*.yaml' -print
find project -type f -path '*/deploy/*.yaml' -print

如果起点写 project，候选路径形如 project/deploy/app.yaml；若起点写 /srv/project，候选就以 /srv/project 开头。-path 不会自动把相对起点转成绝对路径。

-iname 做不区分大小写的名称匹配，适合明确需要 App.CONF 与 app.conf 都进入候选的场景。大小写行为还会受到区域设置影响，自动化脚本若依赖字节级稳定排序或字符类，应明确 LC_ALL=C 是否符合业务文本。

regex 匹配整条路径，不是寻找一个子串

GNU find 的 -regex 要让正则表达式匹配整条候选路径。要匹配结尾为 .log 的路径，通常需要给前缀留出空间：

find . -regextype posix-extended -regex '.*/(app|worker)\.log' -print

默认正则方言在 GNU 实现中是 Emacs 风格；-regextype 只影响它后面出现的正则测试，因此最好放在表达式前部。-regex 和 -regextype 不是所有实现都一致支持，追求可移植时优先使用 POSIX 已规定的 -name、-path 与布尔组合。

不要混淆三套模式：shell glob 决定命令行展开，find -name/-path 使用文件名模式，find -regex 和 grep 使用各自的正则方言。相同的 * 在三处并不表示同一件事。

类型、大小、所有者与权限要按精确定义筛选

type 与 size 读取节点属性

常见类型包括：f 普通文件、d 目录、l 符号链接、p FIFO、s socket、b 块设备和 c 字符设备。搜索日志时先加 -type f，可以避免把同名目录交给后续内容工具。

find logs -type f -name '*.log' -print
find run -type s -print
find . -type l -print

GNU -size 支持 c 字节、k KiB、M MiB、G GiB 等单位。它先把 st_size 向上取整到指定单位，再比较整数桶：

find . -type f -size 1M -print
find . -type f -size +1M -print
find . -type f -size -1048576c -print

-size 1M 会匹配 1 字节到 1 MiB，而不是只匹配恰好 1 MiB；-size +1M 匹配向上取整后的桶大于 1，也就是实际大小超过 1 MiB；-size -1M 只会落到 0 桶，因此只有空文件。要表达“小于 1 MiB”，按字节写 -size -1048576c 更直观。

user 与 group 比较归属，不判断当前人能否操作

-user name 和 -group name 按所有者与组筛选；GNU 还提供 -uid、-gid，并允许数值范围。-nouser、-nogroup 用于找出数字 ID 已无法映射到账号或组的节点，这类情况常见于迁移、容器卷或账号删除后。

find /srv/data -xdev -user app -type f -print
find /srv/data -xdev \( -nouser -o -nogroup \) -print

所有权只是一项元数据。文件属于 app 不表示当前调用者一定可读，文件不属于当前调用者也不表示一定不可读；访问还取决于组、模式位、ACL、挂载选项、能力和远端文件系统策略。

perm 的精确、全部与任意是三种问题

以 GNU find 为例：

/mode 是 GNU 扩展；可移植脚本不能默认所有实现都有。-readable、-writable、-executable 更接近“调用者现在是否可能访问”，却也不是授权保证：测试与动作之间存在竞态，远端文件系统还可能在服务端做额外判断。

要审计组或其他人可写的普通文件，可以先打印：

find /srv/app -xdev -type f -perm /022 -printf '%m %u:%g %p\n'

不要把这条只读结果直接接 chmod。先确认共享目录、协作组和部署约定，避免把合法的组写权限当成异常。

时间条件用完整时间段，不按日历翻页

mtime 与 mmin 先向下取整

-mtime n 计算“搜索初始化时刻减文件修改时刻”的秒差，除以 86400，再丢弃余数。于是：

这里的 +1 表示取整后的值大于 1，因此至少经过两个完整 24 小时段。午夜没有特殊意义。GNU -daystart 会把部分时间测试的基准改成当天开始，而且是位置相关选项；只有需求明确按日历日计算时才使用，并把它放在相关测试之前。

-mmin 使用分钟桶，适合更细粒度排查：

find logs -type f -mmin -15 -print
find logs -type f -mmin +60 -mmin -120 -print

第一条是完整分钟数小于 15，不是精确到秒的滑动窗口。对严格边界敏感时，使用参考文件或 GNU -newermt 一类明确时间点扩展，并在脚本中记录实现要求。

newer 用参考文件做严格时间点比较

-newer reference 比较候选文件的修改时刻是否严格晚于参考文件。两者时间相等时不匹配：

touch -d '2026-07-16 09:00:00' /tmp/cutoff
find logs -type f -newer /tmp/cutoff -print

参考文件把复杂时间字符串解析和实际遍历分开，也方便审计与复用。GNU 还提供 -newerXY 比较不同时间戳类型，但出生时间并非所有文件系统都记录，跨环境脚本应先确认支持。

符号链接策略会影响参考路径是否解引用；-H 或 -L 下通常使用链接目标的时间。为了让证据口径清晰，关键脚本应让参考文件是受控的普通文件，并打印它的时间：

stat -c '%y %n' /tmp/cutoff

特殊文件名要求一条端到端的 NUL 协议

Linux 路径名可以含空格、制表符和换行，只有 NUL 不能出现在路径名中，/ 用于分隔路径分量。因此“每行一个文件名”不是通用协议：文件名自身就可能跨行。

下面的组合不安全：

find work -type f -name '*.tmp' -print | xargs command

-print 用换行结束记录，普通 xargs 又把空格、制表符和换行都视为分隔符。一个名为 report final.tmp 的文件会变成两个参数；一个含换行的名称也会被截断。shell 引用无法修复已经在管道中丢失的边界。

生产者与消费者必须成对改用 NUL：

find work -type f -name '*.tmp' -print0 |
  xargs -0 command --

-print0 输出完整路径后追加 NUL，xargs -0 只把 NUL 当分隔符，空白和引号都按普通字节保留。-- 是传给目标命令的参数，用来告诉它后续即使以 - 开头也属于操作数；并非所有命令都支持，使用前要核对接口。find 从 . 起步时通常输出 ./-name，也能降低选项歧义，但不能替代对目标命令语法的确认。

如果后续只要文件名而不要匹配行，GNU grep -lZ 可以在每个输出文件名后追加 NUL。不要把 grep -z 混进来：-z 改的是输入记录分隔符，而 -Z 改的是输出文件名后的分隔符，解决的问题不同。

exec 的分号与加号决定调用批次

分号形态逐项调用并返回命令真假

find logs -type f -name '*.log' -exec stat -- '{}' \;

{} 替换为当前路径；为了可移植，最好让它单独成为一个参数。分号结束 -exec，但分号也是 shell 控制符，所以写成 \; 或 ';'。这种形态每个匹配调用一次外部程序，便于逐项获得动作真假，却会产生大量进程启动开销。

动作的真假还会影响后续逻辑：逐项 -exec 在命令返回 0 时为真，非零时为假。把它放在 AND 左侧，失败就会短路右侧动作；放进 OR 又会走另一分支。复杂写操作不应只看输出，还要保存 find 与子命令的退出状态。

加号形态按 ARG_MAX 聚合，不承诺只有一次

find logs -type f -name '*.log' -exec stat -- '{}' +

{} + 会把多个路径作为独立参数聚合，在不超过系统命令行限制的前提下分批调用。它通常比逐项执行快，但“批量”不等于“只执行一次”；结果足够多时会有多个批次。可移植写法要求 {} 位于参数列表末尾并紧邻 +。

当目标命令要求路径出现在末尾参数之前，可以用受控的 shell 包装：

find src -type f -name '*.dat' -exec sh -c '
  destination=$1
  shift
  cp -- "$@" "$destination"
' sh /srv/archive '{}' +

这里第一个 sh 是 $0，/srv/archive 成为 $1，路径集合进入后续位置。所有展开都必须引用。若目录可能被其他用户写入，GNU -execdir 会在匹配项所在子目录执行，能缩小部分路径替换风险，但要求安全的绝对 PATH，而且并非所有实现都有。

xargs 适合需要控制每批参数数目、并发或从其他生产者读取参数的场景。GNU 中常用 -r 避免空输入仍执行一次，-n 限制每批数量，-P 控制并发。并发写操作会改变顺序和失败处理，不能只为“更快”就打开。

delete 之前要让预览与执行使用同一遍历顺序

-delete 是直接动作，不经过回收站。GNU find 还会因为 -delete 自动启用 -depth：先处理目录内容，再处理目录本身。这会让 -prune 失效，因此不能用“排除某棵树再 delete”这种组合来赌安全。

最稳妥的流程是把目标限制在一个明确起点，并让预览主动使用 -depth，与执行阶段保持同样顺序：

: '步骤 1：只读预览'
find /srv/app/cache -xdev -depth -type f -name '*.tmp' -mtime +7 \
  -printf '%TY-%Tm-%Td %TH:%TM  %s  %p\n'
 
: '步骤 2：记录数量和总字节，人工核对边界样本'
find /srv/app/cache -xdev -depth -type f -name '*.tmp' -mtime +7 \
  -printf '%s\n' | awk '{sum += $1; n++} END {print n, sum}'
 
: '步骤 3：在可恢复条件满足后执行'
find /srv/app/cache -xdev -depth -type

不要把 -delete 放在条件前面：

find target -delete -name '*.tmp'

表达式从左向右求值，删除动作会先作用于访问到的每个节点，后面的名称测试已经来不及限制它。目录删除只有在目录为空时才能成功，失败会产生诊断并使最终状态非零。

范围防护还可以包括：固定绝对起点、-mindepth 1 避免动作落在起点、-xdev 阻止下钻到不同设备号、先打印 %D:%i 设备与 inode、备份或快照、变更窗口和审批。任何一项都不能单独取代完整预览。

符号链接和文件系统边界要显式选择

P、H、L 决定观察链接还是目标

GNU 与 POSIX find 的三种策略可以这样记：

• -P：默认策略，不解引用遍历中遇到的符号链接，-type l 检查链接自身。
• -H：只解引用命令行给出的起点链接，遍历中后来遇到的链接仍按链接处理。
• -L：尽可能解引用命令行起点和遍历中遇到的所有链接，并可能进入链接指向的目录。

这些选项要放在起点之前：

find -P root -type l -print
find -H linked-root -type f -print
find -L root -type f -print

在 -L 下，-type 通常报告目标类型，-type l 主要只剩断链；GNU -xtype l 可用于检查与当前解引用策略相对的链接类型。链接还可能形成循环。标准要求 find 检测祖先循环、向标准错误输出诊断并以非零状态结束；不能把这类错误当作“重复结果”后静默丢弃。

-L 也可能把原本很小的搜索带到意外的大树、网络挂载或敏感目录。除非需求就是跟随目标，默认 -P 更容易建立范围证据。

xdev 以设备号限制下钻，不是目录沙箱

-xdev 阻止 find 下钻到设备号 st_dev 与起点不同的目录，可避免无意进入另一文件系统或某些挂载：

find /srv -xdev -type f -size +1G -print

它并不表示“路径文本永远留在 /srv”，也不阻止同一设备号中的其他目录；bind mount 等布局还需要结合实际设备号、挂载表和链接策略判断。使用 -L 时，指向其他文件系统的链接与 -xdev 会共同影响下钻。

大范围搜索开始前可以先读取边界：

findmnt -R /srv
stat -c '%D %n' /srv /srv/* 2>/dev/null

权限错误仍要保留。-xdev 只是范围条件，不会把未读目录变成已读，也不会保证搜索期间挂载关系不变。

权限错误、标准错误和并发变化都是搜索结果的一部分

搜索结果通常通过标准输出传给下游，遍历失败则写到标准错误。下面的写法会让画面变干净，却抹掉关键证据：

find /srv -type f -name '*.conf' 2>/dev/null

更好的做法是分别保存并检查状态：

errors=$(mktemp)
if find /srv -type f -name '*.conf' -print 2>"$errors"; then
  echo '遍历完成'
else
  status=$?
  printf 'find status=%s\n' "$status" >&2
  sed -n '1,20p' "$errors" >&2
fi
rm -f "

“Permission denied” 表示对应子树没有完整观察，不能把已有输出描述成全量清单。若确有授权提升搜索权限，要先确认范围和输出是否含敏感路径；不要为了消除报错就默认扩大权限。

目录树还会并发变化。find 读取父目录后，某项可能已被删除或替换；搜索结果是否包含遍历期间新增的文件没有统一保证。GNU -ignore_readdir_race 可以忽略一类“读目录后文件恰好消失”的竞态，适合高变动队列，却不能忽略其他错误，更不应把全部 stderr 丢弃。

grep 搜的是内容记录，不是文件属性

行号、上下文和退出码组成可复核证据

grep 默认对每个输入文本记录应用模式并输出匹配行。排查日志时，文件名、行号与上下文往往比彩色高亮更重要：

grep -n -C 2 -- 'ERROR' app.log
grep -r -n -B 1 -A 3 --include='*.log' -- 'timeout' logs/
grep -r -l -- 'deprecated_key' config/

• -n 输出从 1 开始的行号。
• -B、-A、-C 分别给出前、后、双向上下文。
• -l 只输出含匹配的文件名，-L 输出完全不含匹配的文件名。
• -- 结束 grep 选项，模式以 - 开头时尤其重要。

脚本必须区分退出码：0 是至少选择一行，1 是没有选择任何行，2 是 GNU grep 的错误。状态 1 并非故障，适合表示“当前没有告警”；状态 2 可能是文件不存在、权限不足或模式错误。

if grep -q -- 'READY' status.txt; then
  echo ready
else
  case $? in
    1) echo not-ready ;;
    *) echo search-failed >&2 ;;
  esac
fi

-q 命中后可以提前退出；GNU grep 即使同时遇到某些错误，也可能因为已经命中而返回 0。需要审计完整输入集合时，不要用一个 -q 状态掩盖其他文件的读取错误。

递归、二进制与 NUL 要分别说明

GNU grep -r 递归处理目录，跟随命令行直接给出的符号链接，但跳过遍历中遇到的链接；-R 会跟随所有递归链接，范围风险更大。--include、--exclude 与 --exclude-dir 可以控制文件集合，仍要记录权限错误。

grep 发现 NUL 或不符合当前编码的字节时，可能把文件视为二进制，默认只报告“二进制文件匹配”而不打印内容。选择要明确：

• -I 把检测到的二进制文件视为不匹配，适合文本树搜索。
• -a 强制按文本处理，可能向终端输出控制字节，不应对未知文件随意使用。
• -z 把 NUL 当输入记录分隔符，适合本来就是 NUL 记录的数据；对于没有 NUL 的巨大文件，某些组合可能需要一次读入大量内容。

搜索一个由 find 选择的文件集合时，可以让路径传输用 NUL，而让 grep 内部仍按文本行工作：

find logs -type f -name '*.log' -print0 |
  xargs -0 -r grep -n -- 'ERROR'

rg 是代码搜索补充，不是通用预装前提

rg（ripgrep）默认递归，并在代码库中应用 ignore 规则，跳过隐藏文件、二进制文件和符号链接。常见用法很简洁：

rg -n -C 2 'deprecated_key' .
rg --files -g '*.yaml'
rg -t rust 'unsafe\s*\{'

默认过滤既是优势，也是证据边界。一个被 .gitignore、.ignore 或 .rgignore 排除的文件不会出现在普通结果中；--hidden、--no-ignore 和重复 -u 会逐步放宽范围，-uuu 连二进制过滤也会取消。放宽后结果集合已经改变，记录中要写清楚。

rg 不属于 POSIX，也不是每个 Linux 环境都预装。交互式代码搜索可以优先用它；需要通用脚本时，保留 grep 与 find 的可移植基线，并在运行前用 command -v rg 检查，而不是假设存在。

把搜索变成一条可回滚的批量操作流水线

搜索本身通常只读，风险从“把结果交给动作”开始。可以用下面六步控制：

假设要把 30 天前的 .log 移入归档区，先不要直接 mv：

find /srv/app/logs -xdev -depth -type f -name '*.log' -mtime +29 \
  -printf '%TY-%Tm-%Td %TH:%TM:%TS\t%s\t%p\0' |
  while IFS= read -r -d '' record; do
    printf '%s\n' "$record"
  done

这里 +29 表示完整 24 小时桶大于 29，也就是至少经过 30 个完整时段。确认后再设计目标目录、重名策略、同文件系统原子重命名条件和失败回滚。下一部分的归档与同步会继续处理这些问题。

在一次性目录树里验证边界

隔离实操使用 debian:bookworm-slim，全部写入容器内 /tmp/welearn-ch17，退出时由 trap 删除，容器使用 --rm。数据树包含：空格、换行和前导短横线文件名；普通文件、目录、FIFO 和符号链接；0644、0664、0777 权限；无账号映射的 UID/GID；23:59、24:01、47:59、48:01 时间边界；链接循环与指向 /proc 的跨设备链接。

时间结果与定义一致：

mtime_0=age-23h59 ...
mtime_1=age-47h59 age-24h01
mtime_plus_1=age-48h01
newer_than_reference=newer

权限测试得到：

perm_exact_0644=exact-0644 orphan-owner
perm_all_0644=exact-0644 orphan-owner all-0777 group-write-0664
perm_any_022=all-0777 group-write-0664
perm_all_022=all-0777

普通空白分词把 3 个特殊名称拆成 6 个参数，NUL 管道仍是 3 个；逐项 -exec 启动 2 次，{} + 聚合为 1 个批次并收到 2 个独立路径。删除实验先打印两个 .tmp，只在受控 delete-tree 执行，复核 remaining_tmp=0 且 keep/report.txt 保留。

链接循环令 find -L 返回状态 1，并产生一条循环诊断；-xdev 没有下钻到 /proc 后代。使用 UID 65534 搜索 root 权限目录时，标准输出保留可访问的 3 行，stderr 记录一次拒绝，退出状态为 1。

grep 实测状态为 match=0、no_match=1、error=2；默认二进制模式只报告匹配，-I 返回未匹配。NUL 记录 target 的十六进制输出以 00 结束。自建 locate 数据库复现“新文件漏记”和“已删路径残留”，更新后才反映新状态。rg 默认只搜索普通可见未忽略文件，-uuu 才把隐藏与忽略文件一并纳入。

最终输出：

run.completed=yes
cleanup.lab_directory_removed=yes

容器退出后，同名容器列表为空，说明运行状态与实验目录都已清理。保留的是可审计脚本和输出记录，不包含后台进程或待删除数据。

搜索结束时要交付“集合、限制和下一步”

一份可复用的搜索结论不只是一串路径。至少要包含：使用的起点与时间、链接和文件系统策略、完整表达式、工具版本、匹配数量、stderr 与退出码、特殊名称传输协议，以及并发变化的可能性。

当结果准备进入压缩、归档或同步流程时，还要补充三个问题：目标位置是否可能与起点重叠；重名时怎样处理；源文件在读取期间变化会怎样。搜索解决的是“哪些节点进入候选集合”，并不自动解决归档一致性、压缩格式、元数据保留或远程同步删除。

因此，最实用的收尾不是一句“找到了”，而是这样一条可执行结论：在给定起点、边界和时刻口径下，哪些节点满足条件；哪些区域没有完整观察；结果通过什么无歧义协议交给下一步；写操作如何预览、恢复与复核。 有了这四部分，后续归档才有可靠输入。