进程监控，是指对 Mac 上正在运行的程序进行实时观察、检查和管理。对于 macOS 开发者来说，进程监控不是可有可无的技能——它是调试、性能优化和安全分析的基础。本文将从底层原理出发，说清楚进程监控到底是什么、涉及哪些核心概念，以及系统自带工具在哪里力不从心。
快速结论
macOS 进程监控是指追踪正在运行的程序（进程）的资源消耗、父子关系和运行时上下文。macOS 为每个进程分配唯一的 PID，监控工具让你观察 CPU、内存、打开文件、环境变量和进程血缘，从而定位问题。
macOS 上的”进程”是什么？
每当你启动一个应用、运行一条 Shell 命令、或触发一个后台服务，macOS 都会创建一个进程。进程是一个正在运行的程序的独立实例，拥有自己的内存空间、文件描述符和执行上下文。内核（XNU，Apple 的混合内核）负责进程调度、资源分配和进程间通信。
PID：进程的身份标识
每个进程在创建时都会获得一个进程 ID（PID）——一个由内核分配的正整数。PID 在当前运行的进程中唯一，是所有工具（从 kill 到活动监视器）引用特定进程的方式。macOS 上的第一个进程是 launchd（PID 1），它是系统级的进程管理器，负责启动和监管所有其他服务。
进程树：父子层级关系
进程不是孤立存在的。当一个进程通过 fork() 或 posix_spawn() 创建另一个进程时，创建者成为父进程，新进程成为子进程。这构成了一棵以 launchd 为根的树形结构。举个例子：
launchd（PID 1）启动Terminal.app- Terminal 派生一个
zshShell - 你运行
npm start，Shell 派生一个node进程 - Node 再派生出以子进程形式实现的 Worker
理解这棵树至关重要。当构建失败或某个进程消耗了异常资源时，父子链条告诉你的是问题从哪里产生，而不仅仅是问题在哪里表现。
开发者为什么需要进程监控
普通用户在 Mac 变慢时看一眼活动监视器就够了。开发者需要进程监控的理由完全不同：
调试多进程应用
现代 macOS 应用很少只有单个进程。Electron 应用、浏览器引擎、Xcode 和 Bazel 等构建系统、容器运行时，都会产生复杂的进程层级。当你需要追溯一次崩溃究竟由哪个子进程引起时，一个扁平的进程名列表几乎毫无帮助。
诊断启动失败
当一个进程以错误的环境变量、不正确的工作目录或缺失的 Entitlements 启动时，故障模式对外是不可见的——除非你能检查启动上下文。在进程创建的那一刻知道 PATH、DYLD_FRAMEWORK_PATH 或自定义变量的实际值，往往是最快的修复路径。
捕获瞬态进程
构建工具链（编译器、链接器、代码生成器）在毫秒内启动又退出。性能分析和构建调试需要在这些短命进程消失之前捕获它们。
安全审计
开发机上出现未签名或 ad-hoc 签名的进程，可能意味着工具链被篡改。监控所有运行进程的代码签名和 Entitlements 是基本的安全卫生。
macOS 自带的进程监控工具
macOS 在不同抽象层面提供了多种进程监控手段。
活动监视器
位于 /Applications/Utilities/Activity Monitor.app 的图形界面工具。提供每个进程的实时 CPU、内存、能耗、磁盘和网络统计。回答”是什么在占用 CPU”绰绰有余，但在开发场景下局限明显——没有树视图、无法查看环境变量、不支持正则过滤、也无法捕获短命进程。
命令行工具
| 工具 | 用途 | 局限 |
|---|---|---|
ps | 运行进程快照，包含 PID、CPU、内存 | 仅为静态快照，无实时更新 |
top | 按资源占用排序的实时进程列表 | 无树视图；过滤能力有限 |
lsof | 列出某个 PID 打开的文件、套接字和端口 | 单个进程输出可达数千行 |
dtrace | 内核级动态追踪 | 需调整 SIP；学习曲线陡峭 |
sample | 对特定 PID 进行 CPU 采样 | 一次只能分析一个进程 |
spindump | 系统级卡顿与自旋报告 | 事后分析，非实时监控 |
这些工具单独来看都很强大，但彼此割裂。在一次调试中同时用 ps、lsof 和 dtrace 交叉关联数据，需要大量手工操作。
内置工具的断层
活动监视器和原始命令行工具之间的空白地带，正是开发者日常最痛苦的地方。具体表现为：
- 没有统一的树 + 详情视图。 无法在同一界面中既看进程树，又检查选中进程的环境变量、打开文件和代码签名。
- 已退出进程无法留存。 进程一旦退出，所有内置工具中立刻消失。200 毫秒前崩溃的编译器进程，你没有任何记录。
- 缺乏结构化搜索。 活动监视器的搜索是纯文本、单字段的。命令行方案则需要
grep和awk层层管道。
ProcXray 正是为填补这一空白而生。它提供原生 macOS 界面，集成了实时进程树渲染、环境变量检查、跨所有进程元数据的正则搜索、短命进程保留和代码签名验证——开发者在调试过程中真正需要的数据，整合在一个窗口内。
核心概念速查
| 概念 | 含义 |
|---|---|
| 进程 | 一个正在运行的程序实例，拥有独立内存和 PID |
| PID | 内核分配的唯一整数标识符 |
| 进程树 | 进程之间的父子层级关系 |
| 环境变量 | 进程创建时继承的键值对，影响运行时行为 |
| 代码签名 | 对二进制文件来源和完整性的密码学证明 |
| Entitlements | 嵌入已签名二进制中的能力声明（如网络访问、文件系统沙盒） |
常见问题（FAQ）
macOS 上的进程和线程有什么区别？
进程是拥有独立内存空间和 PID 的独立执行单元；线程是进程内部的轻量执行路径，共享所在进程的内存。macOS 在 CPU 核心上调度的是线程而非进程。进程监控工具追踪的是进程；Instruments 等性能分析工具追踪的是进程内部的线程。
不使用管理员权限能否监控 macOS 进程？
可以——对于属于你自己用户账户的进程。活动监视器、ps 以及 ProcXray 等工具无需提权即可显示你的进程。检查 root 或其他系统用户拥有的进程则需要管理员权限或特定的 Entitlements。
进程监控和应用性能监控（APM）有何不同？
进程监控在操作系统层面运作——它追踪任意进程，不关心使用何种语言或框架。APM 工具（Datadog、New Relic 等）在你的应用代码中植入探针，追踪请求延迟、错误率和业务指标。两者互补：进程监控告诉你什么在运行以及进程之间的关系；APM 告诉你应用内部正在做什么。
参考资料
- Apple Developer: 关于 XNU 内核
- Apple: 代码签名指南
- Apple: 活动监视器使用手册
launchd手册页posix_spawn手册页
下载 ProcXray → — 免费，支持 macOS Sonoma+。