Обнаружение того, что файл журнала был удален или усечен в системах POSIX?

Проверка того, что fstat() возвращает нулевой счетчик ссылок, завершится ошибкой, если файл жестко связан или переименован. Вместо этого я, вероятно, периодически сравниваю номер инода stat() с номером fstat().

Я не уверен насчет усечения.

tail -F проверяет удаление и, возможно, усечение, поэтому я бы проверил его исходный код, чтобы увидеть, как он это реализует.

Предположим, нерадивый системный администратор убивает процесс. Вы действительно хотите защититься от случайных действий администратора? Я думаю, вы просто ищете способ время от времени запускать новый файл журнала, например, используя logrotate. Там достаточно предоставить способ вручную позволить программе повторно открыть файл журнала. Стандартный способ сделать это — прослушать HUP-сигнал в программе и повторно открыть лог-файл, если он появится:

#include <signal.h>

volatile int f_sighup;

void sighup_handler() {
  f_sighup = 1;
}

void trap_sighup() {
  struct sigaction sa;
  int rv;

  memset(&sa, 0, sizeof(struct sigaction));
  sa.sa_handler = &sighup_handler;
  rv = sigaction(SIGHUP, &sa, NULL);
  if (-1 == rv) {
    fprintf(stderr, "warning: setting SIGHUP signal handler failed");
  }
}

int main() {
  f_sighup = 0;
  trap_sighup();
  ...
}

Затем регулярно проверяйте флаг f_sighup в основной программе, чтобы увидеть, нужно ли повторно открывать файл журнала. Это хорошо сочетается с такими инструментами, как logrotate, который может переименовать старый файл журнала, а затем вызвать kill -s HUP $PID. А нерадивый сисадмин может сделать это вручную, предварительно удалив (а лучше переименовав) старый лог-файл.

Вы можете использовать inotify для просмотра файла журнала, мониторинг событий файловой системы.

В ответ на søren-holm ответить

Когда файл закрывается, время модификации изменяется.

это не кажется правильным:

import os
from time import sleep

TMPF = '/tmp/f'

def print_stats():
    print("%s, %s" % (os.stat(TMPF).st_mtime, os.stat(TMPF).st_ctime))
    sleep(1.1)

print("Opening...")
with open(TMPF, 'w') as f:
    print_stats()
    print("Writing...")
    os.write(f.fileno(), 'apple')
    print_stats()
    print("Flushing...")
    f.flush()
    print_stats()
    print("Closing...")

print_stats()

Производит:

Opening...
1483052647.08, 1483052647.08
Writing...
1483052648.18, 1483052648.18
Flushing...
1483052648.18, 1483052648.18
Closing...
1483052648.18, 1483052648.18

По общему признанию, там происходит немного магии Python; что write() не гарантируется автоматический сброс, но суть в том, что mtime обновляется при изменении файла, а не при его закрытии. Поведение ctime будет зависеть от вашей файловой системы и параметров ее монтирования.

Когда файл закрывается, время модификации изменяется. Поэтому периодически проверяйте mtime с помощью stat().