ps aux 看不到完整命令行是因为 cmdline 可能被进程或容器清空/篡改，此时 ps 退而显示仅16字节且无参数的 comm；/proc/pid/cmdline 理论上保留完整 argv，但易被 prctl、ptrace、容器运行时或 Go runtime 等修改或清空。
ps aux 为什么看不到某些进程的完整命令行
因为 ps aux 默认显示的是 /proc/pid/cmdline 的内容，而这个字段在进程主动覆写（如用 prctl(PR_SET_NAME, ...)）或被容器/沙箱工具修改后，可能为空、截断，甚至被故意清空。此时 ps 会 fallback 到 /proc/pid/comm —— 但 comm 只有 16 字节，且不含参数，无法反映真实启动命令。
/proc/pid/comm 和 /proc/pid/cmdline 的本质区别
/proc/pid/comm 是内核维护的进程名（task_struct->comm），可被进程自身修改，长度上限 15 字符 + \0；/proc/pid/cmdline 是初始 execve() 传入的 argv[] 拷贝，以 \0 分隔，理论上保留完整命令行，但以下情况会失效：
- 进程调用
prctl(PR_SET_MM_ARG_START, ...)或类似机制篡改其 mm_struct - 被
ptrace暂停并修改内存（常见于调试器或反分析手段） - 容器运行时（如 runc）在 clone 时未正确传递
argv，或使用setns后 exec 新二进制导致 cmdline 被覆盖 - Go 程序等运行时默认将
argv[0]写入comm，而清空cmdline（因 Go runtime 不依赖传统 argv）
手动验证隐藏进程的真实命令行
当 ps aux 显示某进程的 COMMAND 列只有简短名字（如 nginx 而非 nginx: master process /usr/sbin/nginx -g daemon off;），应直接读取对应 proc 文件：
cat /proc/1234/cmdline | tr '\0' ' '
若输出为空或乱码，再试：
cat /proc/1234/comm
更稳妥的方式是结合 readlink /proc/1234/exe 查看实际执行文件，并用 grep -z '^ARGV' /proc/1234/status（部分内核支持）辅助判断。注意：没有权限读取 /proc/pid/cmdline 时（如其他用户进程且无 ptrace 权限），ps 也会静默降级为显示 comm。
ps 命令里哪些选项能绕过 comm fallback
ps 本身不提供“强制只读 cmdline”的开关，但可用以下方式逼近真实命令行：
- 用
ps -eo pid,comm,args：其中args字段优先取 cmdline，fallback 才用 comm；比ps aux的COMMAND列更透明 - 加
-ww防止截断：ps -eo pid,args -ww - 避免用
aux组合：它隐含-f（full format），但COMMAND列逻辑固定，不如显式指定字段可控 - 注意：即使这样，若 cmdline 已被进程清空，就真的没有了——不是 ps 的问题，是目标进程自己抹掉了
真正难办的不是怎么显示，而是当 cmdline 为空且 comm 被设为 sh 或 bash 时，你得靠 lsof -p PID、strace -p PID -e trace=execve（需权限）或内存 dump 才能还原上下文。
