在Linux服务器上，find命令的常规用法通常是按文件名查找，例如find / -name "nginx.conf"。这种用法固然直接，但面对大量文件、深层目录和组合条件时，单纯靠-name会很快碰到瓶颈。比如需要同时匹配两种扩展名、限定修改时间、排除某些大目录、再对结果批量处理，如果仍然用管道串联ls和grep，不仅效率低，还容易因为空格和换行导致误操作。find本身提供了一套表达式求值机制，理解它之后可以像写查询条件一样精确筛选文件。
一、理解find的表达式求值机制与条件组合
find命令的过滤条件实际上是由一个个测试单元组成的表达式，每个测试单元返回真或假。默认情况下，多个条件之间用-and连接，也就是说只有所有条件都为真时文件才会被输出。例如find /data -type f -name "*.log"中的-type f和-name "*.log"是同时成立的关系。如果要实现或关系，需要显式使用-o，表示-or。
当条件变复杂时，必须用括号来明确优先级，而括号在shell中具有特殊含义，因此需要转义。一种常见写法是使用反斜杠转义括号，例如：
find /data \( -name "*.log" -o -name "*.tmp" \) -type f -mtime +7
这条命令表示：在/data目录下查找扩展名为.log或.tmp的文件，并且类型为普通文件、修改时间超过7天。括号转义后，shell会把\(和\)作为参数传给find，由find完成逻辑分组。如果不转义，shell会尝试解释括号，导致语法错误。另一种写法是用单引号包裹括号，例如find /data '(' -name "*.log" -o -name "*.tmp" ')' -type f，在脚本中可读性更好。
还需要注意表达式顺序对性能的影响。find会按从左到右的顺序评估条件，对于逻辑与，只要前面的条件为假，后面的测试就不会执行。因此，把消耗更低的测试放在前面，例如先判断-type f再判断-name，通常比反过来更快，因为-name需要对每个路径做字符串匹配，而-type直接读取文件类型元数据。
二、按时间、大小和权限精准过滤
时间过滤是find最常用的高级能力之一。-mtime按天计算修改时间，-mmin按分钟计算。-mtime +7表示修改时间严格超过7天，-mtime 7表示在7到8天之间，-mtime -7表示7天以内。不少资料把+7解释成“7天以前”，这个说法不够准确，它不包含恰好第7天整点之前，实际含义是大于7个24小时。对于需要精确到分钟的场景，优先使用-mmin，例如查找最近30分钟内修改过的PHP文件：
find /var/www -type f -name "*.php" -mmin -30
时间条件还能组合范围。比如要找出修改时间在2天前到5天前之间的日志文件，可以写成：
find /var/log -type f -mtime +2 -mtime -5
这里两个-mtime同时成立，-mtime +2表示大于2天，-mtime -5表示小于5天，最终就是一个时间窗口。
文件大小过滤用-size参数。单位可以用c表示字节、k表示KB、M表示MB、G表示GB。-size +100M表示超过100MB的文件。-size -1k表示小于1KB的文件。需要特别说明的是，-size 100M并不表示恰好等于100MB，而是大小在100MB到101MB之间的文件，因为find内部按块取整。要查找空文件，使用-size 0c比较可靠。一个实用例子是清理超过500MB的压缩包：
find /home -type f -name "*.tar.gz" -size +500M -print
权限过滤使用-perm。它支持精确匹配和任意位匹配。例如-perm 644查找权限恰好为644的文件，-perm -644查找所有权限位都包含644的文件，即所有者至少有读写权限、组和其他人至少有读权限。-perm /222表示所有者、组或其他任一方具有写权限。实际运维中，查找所有属主没有读权限的文件可以用! -perm -400。感叹号在shell中需要转义或加反斜杠，例如：
find /etc -type f \! -perm -400 -print
这条命令会找出/etc下普通文件中属主缺少读权限的项，对于权限审计很有帮助。
三、利用-prune排除目录并处理深层路径
大型项目的目录树里往往包含node_modules、.git、vendor等体积庞大但不需要检索的目录。如果先find再grep -v过滤，find还是要进入这些目录遍历，浪费大量时间。正确做法是使用-prune在遍历到目标目录时直接剪枝，不再继续深入。一个典型命令如下：
find /project \( -path "*/node_modules" -o -path "*/.git" \) -prune -o -type f -name "*.js" -print
这里-path "*/node_modules" -o -path "*/.git"构成一个条件组，匹配到的目录执行-prune返回真并阻止进入。后面的-o -type f -name "*.js" -print是另一个分支，表示对未被剪枝的文件继续判断类型和名称，只有匹配时才打印。初学者容易漏掉-print，因为find默认打印所有表达式结果为真的路径，但加入-prune后行为会变化，需要显式指定输出。
如果目录名可能出现在不同层级，使用-name "node_modules" -type d -prune也能达到目的，但必须写在最前面。例如：
find /project -name "node_modules" -type d -prune -o -type f -name "*.js" -print
这种写法不会要求路径中包含特定父目录，无论node_modules位于哪一层都会被剪掉。需要注意，当路径包含空格或中文时，find输出默认以换行分隔，后续如果用管道处理容易出错。比如直接把输出传给xargs，不带空字符分隔，遇到带空格的文件名会导致参数被拆分。这个问题在下一节会进一步展开。
四、结合-exec与xargs安全执行批量操作
find不仅能查找文件，还能对匹配结果执行操作。-exec是最直接的方式，格式为-exec 命令 {} \;。其中{}是匹配文件的占位符，反斜杠加分号表示命令结束，必须原样保留。例如批量删除7天前的临时文件：
find /tmp -type f -name "*.tmp" -mtime +7 -exec rm -f {} \;
这种方式每个文件会启动一次rm进程，如果匹配数量巨大，开销会很高。更高效的是使用+结尾，让find把多个文件作为参数一次性交给命令：
find /tmp -type f -name "*.tmp" -mtime +7 -exec rm -f {} +
区别在于\;逐个执行，+批量执行。对于rm、chmod、chown这类命令，批量方式能显著减少进程创建。不过如果命令本身不支持接收多个文件参数，仍然要用\;。
另一种更灵活的做法是配合xargs，但必须解决文件名包含空格、换行等问题。find的-print0用空字符而不是换行作为分隔符，xargs配合-0选项可以正确读取这些路径。示例如下：
find /srv -type f -name "*.log" -size +100M -print0 | xargs -0 -n 20 gzip
这里的-n 20表示每次最多传20个文件给gzip，避免参数列表过长。和-exec {} +相比，xargs可以控制每次传递的参数数量、并行执行等。比如需要并行压缩大量文件时，可以加上-P 4让xargs同时运行4个进程：
find /srv -type f -name "*.log" -print0 | xargs -0 -P 4 -n 20 gzip
需要注意的是，如果文件路径中包含换行符，即便使用-print0也不影响，因为空字符是路径中不存在的分隔符。日常中可能遇到的主要坑是把find输出直接丢给xargs而不加-0，这种情况遇到带空格目录名就会出错。正确做法是养成使用-print0和-0的习惯，或者在find中使用-exec直接处理。
删除文件时还有一个更安全的选项-delete。它不需要额外调用rm，语法上比-exec更简洁：
find /var/cache -type f -mtime +30 -delete
但要注意-delete必须放在表达式靠后位置，因为它会立即删除匹配文件，并且如果后面还有其他条件，行为可能不符合预期。在处理删除任务时，建议先用不带-delete的find命令预览结果，确认无误后再加上-delete执行。