inotify是用來監視文件系統事件的機制，在linux 2.6.13內核中引入。該機制可以用來監視文件和目錄，當文件或目錄發生變化時，內核會將文件或目錄的變化發送給inotify文件描述符，在應用層只需調用read()就可以讀取這些事件，非常的方便。更好的是，inotify文件描述符還可以使用select、poll、epoll這些接口來監聽，當有事件發生是，inotify文件描述符會可讀。
一、接口介紹
1、inotify_init()
定義如下：
#include <sys/inotify.h>
int inotify_init(void);
int inotify_init1(int flags);
inotify_init()用來初始化一個新的inotify實例，並返回一個文件描述符。這個描述符在inotify_add_watch()中會用到，發生的事件也是從這個描述中讀取。
除了這個接口外，還有一個相同功能的接口inotify_init1()。inotify_init1()中多了一個參數flags，用來在初始化時設置inotify文件描述符的屬性。flags中可以設置的標誌有兩個：IN_NONBLOCK和IN_CLOEXEC。這兩個標誌不難理解，前一個是用來將inotify文件描述設置爲非阻塞狀態，後一個是設置close-on-exec（FD_CLOEXEC）標誌。通過使用這兩個標誌就避免在創建inotify文件描述後再調用fcntl()的消耗了，代碼看起來也會簡潔一些。
2、inotify_add_watch()
定義如下：
#include <sys/inotify.h>
int inotify_add_watch(int fd, const char *pathname, uint32_t mask);
其中fd是inotify文件描述符，inotify_init()的返回值；pathname是要監聽的文件的路徑；mask是指定要監視哪些事件，在後面具體介紹。
inotify_add_watch()用於將要監視的文件或目錄添加到inotify中，返回值是一個inotify標識，注意不要和inotify_init()的返回值搞混淆了。inotify_init()的返回值是在讀取事件、註冊監聽文件時使用，而inotify_add_watch()的返回值用來判斷返回的事件屬於哪個監聽的文件（後面介紹inotify_event結構時會看到），以及移除監聽文件時使用。
3、inotify_rm_watch()
定義如下：
#include <sys/inotify.h>
int inotify_rm_watch(int fd, uint32_t wd);
inotify_rm_watch()用於移除對某個文件的監聽，其中fd是inotify文件描述符，由inotify_init()返回；wd是inotify標識，由inotify_add_watch()返回。
二、結構及事件介紹
當有事件發生時，notify文件描述符會變爲可讀，調用read()可以讀取發生的事件，事件的描述結構爲inotify_event結構體，定義如下：
struct inotify_event {
int wd; /* Watch descriptor */
uint32_t mask; /* Mask of events */
uint32_t cookie; /* Unique cookie associating related
events (for rename(2)) */
uint32_t len; /* Size of name field */
char name[]; /* Optional null-terminated name */
;
其中wd是inotify標識符，inotify_add_watch()的返回值；mask就是發生的事件掩碼；cookie這個好像只在rename中使用，這裏不關心；len是name的長度，包括空字符，name是引發事件的文件名，不包括路徑。
首先說明inotify_event的長度問題，從定義中可以看出name的長度是可變的，所以一個事件對應的長度應該是sizeof(struct inotify_event)+len。
還有一個問題要特別說明，在read()的時候如果指定的緩衝區長度小於一個事件的長度（即sizeof(struct inotify_event)+len），這時內核會返回EINVAL錯誤。估計很多人都以爲是ENOSPC錯誤，但是程序中實際會返回EINVAL錯誤，當然個人也以爲返回ENOSPC會好一些。看了下2.6.32的內核代碼，這個錯誤是在inotify_read()調用的get_one_event()函數中返回的，代碼如下：
static struct fsnotify_event *get_one_event(struct fsnotify_group *group,
size_t count)
{
size_t event_size = sizeof(struct inotify_event);
struct fsnotify_event *event;
if (fsnotify_notify_queue_is_empty(group))
return NULL;
event = fsnotify_peek_notify_event(group);
if (event->name_len)
event_size += roundup(event->name_len + 1, event_size);
if (event_size > count)
return ERR_PTR(-EINVAL);
/* held the notification_mutex the whole time, so this is the
* same event we peeked above */
fsnotify_remove_notify_event(group);
return event;
}
所以在調用read從inotify文件描述符讀取事件時一定要保證你的緩衝區的大小至少爲sizeof(struct inotify_event)+NAME_MAX+1，其中NAME_MAX是文件名的最大值，linux下默認爲255.
接下來介紹inotify中的事件，及mask的取值。下面的這些宏代表不同的事件，這些值在inotify_add_watch()中的mask參數和inotify_event結構中的mask成員中都可以使用，如下所示：
IN_ACCESS： 文件被訪問
IN_ATTRIB：元數據被改變，例如權限、時間戳、擴展屬性、鏈接數、UID、GID等
IN_CLOSE_WRITE：關閉打開寫的文件
IN_CLOSE_NOWRITE： 和IN_CLOSE_WRITE剛好相反，關閉不是打開寫的文件
IN_CREATE：這個是用於目錄，在監控的目錄中創建目錄或文件時發生
IN_DELETE:這個也是用於目錄，在監控的目錄中刪除目錄或文件時發生
IN_DELETE_SELF：監控的目錄或文件本身被刪除
IN_MODIFY：文件被修改，這種事件會用到inotify_event中的cookie。
IN_MOVE_SELF：監控的文件或目錄本身被移動
IN_MOVE_FROM： 從監控的目錄中移出文件
IN_MOVE_TO：向監控的目錄中移入文件
IN_OPEN： 文件被打開
（注：linuxi下都可以抽象爲文件，如果沒有特別說明，文件可以指普通文件或目錄）。
inotify還爲我們定義了一個IN_ALL_EVENTS宏，這個宏包含了上面提到的所有事件，這個宏在調用inotify_add_watch()中使用。
下面的這些bit位只在調用inotify_add_watch()中會用到：
IN_DONT_FOLLOW：如果監控的文件時一個符號鏈接，只監控符號鏈接本身，而不是鏈接指向的文件
IN_MASK_ADD：對已監控的文件增加要監控的的事件（不是替換原先的掩碼）
IN_ONESHOT：只監控指定的文件一次，事件發生後從監控列表移除
IN_ONLYDIR：如果監控的是一個目錄，只監控目錄本身（待定）
下面的這些bit位可能在read（）讀取到的事件中設置：
IN_IGNORED：監控被顯式移除（調用inotify_rm_watch()），或者自動移除（文件被刪除或者文件系統被卸載）
IN_ISDIR：引發事件的是一個目錄
IN_Q_OVERFLOW：事件隊列溢出（這種情況下inotify_event結構中的wd爲-1）
IN_UMOUNT：包含監控對象的文件系統被卸載
inotify的資源限制可以通過/proc文件系統來修改，涉及的接口有：
/proc/sys/fs/inotify/max_queued_events：指定每個inotify實例的事件隊列的最大長度，即可以緩存的事件個數
/proc/sys/fs/inotify/max_user_instances：每個用戶可以創建的inotify實例的個數
/proc/sys/fs/inotify/max_user_watches：每個用戶可以監控的文件的上限