本文目录导读：
在脚本中使用 ss 替代 netstat 主要有以下几个核心优势：
性能与速度
- 显著更快：
ss直接从内核的底层套接字信息（/proc/net/tcp及diag接口）读取数据，而netstat需要遍历/proc下的多个文件并解析，导致系统开销更大，在处理大量连接时，ss的速度优势非常明显。 - 低资源占用：
ss的 CPU 和内存占用通常低于netstat,特别是在高并发服务器上。
更丰富且易解析的输出
- 更详细的内核信息：
ss可以显示netstat通常不直接提供的细节，TCP 缓冲区大小（-i）、拥塞算法、重传次数、内存使用情况（-m）等,这对调试网络性能问题非常有帮助。 - 清晰的字段结构：
ss的输出默认对齐紧凑，且支持-H（不打印标题）和-o（显示计时器）等选项，方便脚本直接用awk、cut或grep按列解析，相比之下，netstat的输出格式有时会因地址长度不同而错位,导致解析困难。
更强大的过滤能力
- 状态筛选：
ss内置了非常直观的状态过滤参数，如tcp established、udp、unix或-4/-6直接指定协议族。 - 灵活的地址和端口匹配：可以使用
dst、src、dport、sport等参数进行组合过滤，ss -t state established '( dport = :443 or sport = :80 )' src 10.0.0.0/24
这比
netstat配合grep的组合更精确、更易于维护。 - 类型筛选：支持直接显示 Unix 域套接字（
-x）、原始套接字（-w）或数据包套接字（-p）。
安装与可用性
- 属于核心工具集：
ss是iproute2工具包的一部分，在绝大多数现代 Linux 发行版（如 CentOS 7+, Ubuntu 16.04+, Debian 8+ 等）中默认预装,即时可用。 - 维护状态：
netstat属于net-tools包，该包已被逐步淘汰且不再积极更新，一些新安装的最小化系统（如使用buildah或Alpine Linux）甚至默认不包含netstat。
符合现代编程习惯
- 返回码：
ss通常在未找到匹配项时返回非零退出码，这让脚本中的错误处理（如if ! ss ...）更符合预期，而netstat的行为有时较难预测。 - JSON 输出支持：虽然
ss不直接输出 JSON（可以通过-j选项获取？iproute2中有-j选项的只有ip，ss本身没有直接 JSON 输出），但它可以通过-p输出进程信息且格式一致，便于 JSON 序列化库处理。
典型脚本对比
| 场景 | 使用 netstat | 使用 ss |
|---|---|---|
| 显示所有监听中的 TCP 端口及进程 | netstat -tlnp \| grep LISTEN |
ss -tlnp |
| 查找连接到 80 端口的远程 IP | netstat -tn \| grep ':80 ' |
ss -tn state established dport = :80 |
| 获取某连接的发送缓冲区队列长度 | 难以直接获取 | ss -i -tn sport = :22 dport = :80 |
ss 替代 netstat 的本质，是从一个老旧、低效的 /proc 文本解析器，切换到直接通过内核 netlink 接口获取高效、结构化信息的现代工具。 对于脚本编写来说，这意味着更快的响应速度、更清晰的解析逻辑以及更准确的过滤能力，能显著减少处理大量连接时的 CPU 开销和脚本复杂度。
建议在新编写的脚本中完全放弃 netstat，全面使用 ss，对于需要兼容旧系统的场景，可以通过 command -v ss 检测后做 fallback。
