ps auxf 中进程名被方括号包裹表示该进程是内核线程，由内核直接创建管理，无用户空间上下文、无可执行文件路径、tty为?、vsz/rss极小、ppid通常为2，常见如kthreadd[ksoftirqd/n]等，用于系统底层调度与服务。
![ps auxf 显示进程命令行被 [] 包裹隐藏的真实含义与排查](https://img.php.cn/upload/article/001/242/473/176889996190210.jpeg)
ps auxf 中进程名被 [ ] 包裹，表示这是一个内核线程（kernel thread），不是普通用户进程，也不运行在用户空间。它由内核直接创建和管理，没有对应的可执行文件路径，也没有命令行参数——所以 COMMAND 列显示为 [kthreadd] 这类形式，本质是内核内部的调度或服务单元。
为什么用方括号标识？
Linux 内核约定：所有内核线程的名称统一用方括号包裹，用于在 ps 输出中快速区分于用户进程（如 sshd、python3）。这不是“隐藏”，而是明确标记其内核身份。
- 内核线程不关联任何终端（TTY 显示为
?） - VSZ 和 RSS 通常为 0 或极小值（不占用用户态虚拟内存）
- STAT 状态多为
S（可中断睡眠）或R（运行中），极少出现Z或T - PPID（父进程 ID）通常是 2（对应
[kthreadd]，即内核线程总管家）
常见带 [] 的内核线程及其作用
这些线程名不是随意命名，后缀往往反映其职责和绑定的 CPU：
-
[kthreadd]：所有内核线程的父线程，类似“内核进程孵化器” -
[migration/N]：负责将进程迁移到 CPU N 上，保障负载均衡 -
[ksoftirqd/N]：处理软中断（softirq），如网络包收发、定时器等延迟敏感任务 -
[watchdog/N]：监控 CPU 是否卡死，触发 panic 保护机制 -
[kworker/uN:N]：通用工作队列线程，执行内核中异步提交的任务
如何确认它是内核线程而非异常进程？
仅看 [] 不足以判断是否异常，需结合其他字段交叉验证：
- 检查 USER 列：内核线程始终显示为
root（实际无用户上下文） - 检查 TTY 列：必为
?（无控制终端） - 检查 CMD 列：只有
[xxx]，绝不会出现路径（如/usr/bin/python）或参数 - 检查 /proc/PID/ 目录：
ls -l /proc/2/exe会提示No such file，而用户进程可读取到符号链接
什么时候需要关注带 [] 的进程？
绝大多数情况下无需干预——它们是系统稳定运行的基础组件。但以下情况值得深入：
- 某个
[kworker]持续占用高 CPU（如 %CPU > 80%）：可能因驱动 bug 或硬件故障引发大量软中断 - 大量
[ksoftirqd]处于 R 状态：常指向网络洪泛、网卡丢包或 IRQ 绑定失衡 - 出现非常规名称如
[hacktool]或拼写可疑的[kthreed]：需排查是否被植入 rootkit（可用ksymoops或crash工具比对内核符号）
