Linux系统日志清理方法详解

Linux系统中/var/log目录突然占满磁盘，往往并非日志量天然庞大，而是journalctl无限累积、logrotate配置失效或权限异常、以及apt/unattended-upgrades等隐藏日志目录长期无人清理所致；盲目删除日志可能引发服务崩溃，正确做法是：用journalctl精准清理或永久限制journald日志大小，逐项排查logrotate规则与目录权限，并针对性处理第三方应用日志，最后务必验证磁盘释放效果并排查“幽灵占用”，让系统日志管理真正安全、可控、可持续。

为什么 /var/log 突然占满磁盘？

根本原因不是日志“太多”，而是默认配置下 logrotate 未启用或轮转策略失效，导致 journalctl 日志无限增长、旧压缩包残留、或应用（如 nginx、docker）未配置日志切割。直接 rm -rf /var/log/*.log 会中断正在写入的日志，甚至让服务崩溃。

journalctl 是日志膨胀的头号元凶

systemd-journald 默认不自动清理，尤其在桌面或测试环境，/var/log/journal/ 可能积累数 GB 二进制日志。清理前先确认是否需要保留：

• 查当前占用：journalctl --disk-usage
• 清空所有归档（重启后仍会记录新日志）：journalctl --vacuum-size=500M（保留最新 500MB）
• 或按时间清理：journalctl --vacuum-time=2weeks
• 永久限制：编辑 /etc/systemd/journald.conf，取消注释并修改 SystemMaxUse=500M 和 MaxRetentionSec=4week，然后执行 systemctl restart systemd-journald

logrotate 配置失效比想象中常见

/etc/logrotate.d/ 下的规则可能被注释、路径写错、或权限不足，导致 syslog、auth.log 等长期不轮转。检查方法：

• 手动触发轮转并看输出：logrotate -d /etc/logrotate.conf（-d 是 debug 模式，不实际删除）
• 重点看是否报 error: skipping "/var/log/syslog" because parent directory has insecure permissions —— 这意味着 /var/log 权限不是 755 或属主不是 root
• 常见修复：chmod 755 /var/log、chown root:root /var/log
• 若某服务（如 docker）日志暴增，需单独配 /etc/logrotate.d/docker，指定 /var/lib/docker/containers/*/*-json.log 并加 copytruncate

别忽略那些“隐藏大块头”

除了标准日志，这些目录常被遗漏：

• /var/log/apt/：系统升级留下的 history.log 和 term.log，可安全清空（truncate -s 0 /var/log/apt/*.log）
• /var/log/unattended-upgrades/：自动更新日志，无压缩，删掉旧文件即可
• /var/log/alternatives.log：极少有用，直接 rm
• 第三方软件如 mysql、postgresql 的错误日志默认不走 logrotate，得查其配置里的 log_error 或 logging_collector 路径

清理后务必运行 df -h /var 验证，再用 lsof +L1 查是否有进程还在写已删除的文件（这类“幽灵占用”需重启对应服务才能真正释放空间）。

终于介绍完啦！小伙伴们，这篇关于《Linux系统日志清理方法详解》的介绍应该让你收获多多了吧！欢迎大家收藏或分享给更多需要学习的朋友吧~golang学习网公众号也会发布文章相关知识，快来关注吧！