| 目录 | /etc/udev/rules.d/、/run/udev/rules.d/ |
|---|---|
| 关键字段 | RUN+=、ACTION==、KERNEL== |
核查
核查
ls -lt --time-style=long-iso /etc/udev/rules.d/ | head
grep -Rn 'RUN+=' /etc/udev/rules.d/ | head/run/udev/rules.d 为运行时目录，重启后消失，需在采集时现场记录。
udev 规则执行痕迹
udev 规则中的 RUN 指令可在外设接入或系统启动时执行程序，属于少见但有效的持久化位置，检查新增规则文件的时间与内容。
易错点
- 发行版自带规则众多，判断前先与包管理的文件清单比对
- 规则触发依赖硬件事件，不接入设备时不会执行
数据来源与参考
- systemd 文档（udev(7) 规则语法）