Linux 磁盘空间排查实战：df、du、lsof 找出空间去哪了

Linux 服务器磁盘报警时，很多人第一反应是删日志。但真正安全的做法应该先判断：到底是哪个分区满了、哪个目录增长最快、是不是有文件已经删除但空间还没释放。直接乱删文件，可能删错业务数据，也可能删完发现空间并没有回来。

本文用一次常见的 /var 分区占满场景，整理一套可复用的排查流程：先看分区，再看目录，再看被进程占用的已删除文件，最后处理日志和缓存。

摘要

这篇文章会用 df、du、lsof、journalctl 几个常用命令，演示 Linux 磁盘空间排查路径。重点不是记住所有参数，而是知道每一步回答什么问题：哪个分区满、哪个目录大、空间为什么没释放、清理时怎样降低风险。

适合人群

适合刚开始接触 Linux 运维、后端开发、服务器部署和线上问题排查的同学。你需要能登录服务器，并具备基础命令行操作能力。

目录

1. 先判断哪个分区满了
2. 用 du 找到大目录
3. 排查已删除但仍占用空间的文件
4. 检查系统日志和服务日志
5. 清理前的安全确认
6. 常见误区
7. 总结

一、先判断哪个分区满了

先用 df 看文件系统整体使用情况：

df -hT

常见输出会包含文件系统类型、总容量、已用容量、可用容量、使用率和挂载点。排查时优先关注使用率接近 100% 的挂载点，例如 /、/var、/data。

Filesystem     Type  Size  Used Avail Use% Mounted on
/dev/vda1      ext4   40G   35G  3.0G  93% /
/dev/vdb1      ext4  100G   96G  1.2G  99% /data

如果 /data 满了，就不要先去清理 /var/log；如果 / 满了，才重点看根分区下面的目录。第一步的目标是避免排查方向跑偏。

二、用 du 找到大目录

确定挂载点后，再用 du 看目录大小。比如 /data 占满：

sudo du -xhd1 /data | sort -h

参数含义可以这样理解：

• -h：用更容易读的单位显示，例如 G、M。
• -d1：只看当前目录下一层，先不要扫太深。
• -x：限制在当前文件系统内，避免跨到其它挂载点。

如果发现 /data/app-logs 最大，再继续往下看：

sudo du -xhd1 /data/app-logs | sort -h

一层层往下缩小范围，比直接全盘查找更稳，也更容易判断哪个目录是业务数据、哪个目录是临时文件或日志。

三、排查已删除但仍占用空间的文件

有一种情况很迷惑：明明删了大日志，df 显示空间还是没回来。这通常是因为文件虽然从目录中删除了，但仍被某个进程打开着。

可以用 lsof 查看这类文件：

sudo lsof +L1

如果看到某个服务仍然持有已删除的大日志文件，处理方式通常是重启对应服务或让服务重新打开日志文件，而不是继续删除其它文件。

COMMAND   PID USER   FD   TYPE DEVICE SIZE/OFF NLINK NAME
app      1234 root    5w   REG  253,1  8.5G     0 /data/app.log (deleted)

四、检查系统日志和服务日志

如果大目录集中在系统日志，可以先看 systemd journal 占用：

journalctl --disk-usage

开发或测试机器上，可以按时间清理旧日志：

sudo journalctl --vacuum-time=7d

也可以按容量限制：

sudo journalctl --vacuum-size=1G

业务服务日志建议配合日志轮转工具或应用自身的日志切分策略。不要等到磁盘满了才手动清理。

五、清理前的安全确认

清理前先问自己四个问题：

• 这是哪个分区上的文件？清理它真的能释放报警分区吗？
• 这是业务数据、缓存、日志，还是临时文件？
• 文件是否仍被进程打开？删除后空间能否立刻回来？
• 是否需要先备份、压缩或通知相关负责人？

对线上服务器来说，删除动作宁可慢一点，也不要凭感觉清理。特别是数据库目录、上传目录、消息队列数据目录，都不能简单按大小删除。

六、常见误区

1. 只看 du，不看 df

du 是目录视角，df 是文件系统视角。已删除但仍被进程持有的文件，可能在 du 里看不到，但 df 仍然显示空间被占用。

2. 直接清空日志文件

如果服务正在写日志，直接删除文件不一定释放空间。更好的做法是通过日志轮转、重开日志文件或重启对应服务来处理。

3. 忽略 inode

有时容量没满，但小文件太多导致 inode 用尽。可以用下面命令查看：

df -ih

如果 inode 用尽，重点排查海量小文件目录，而不是只找大文件。

4. 清理了错误分区

服务器上经常有多个挂载点。比如 /data 满了，清理 /var 不会解决问题。每次清理前都要确认目标文件属于报警分区。

七、推荐排查顺序

1. df -hT 确认哪个挂载点满了。
2. du -xhd1 挂载点 | sort -h 找出大目录。
3. 继续向下用 du 缩小范围。
4. lsof +L1 检查已删除但仍占用的文件。
5. journalctl --disk-usage 检查系统日志。
6. 确认文件类型和业务影响后再清理。

总结

Linux 磁盘排查的关键，是先把问题分层：df 回答哪个分区满了，du 回答哪个目录大，lsof 回答空间为什么没释放，journalctl 帮你控制系统日志占用。按这个顺序排查，比一上来删除日志更稳，也更容易避免误删。

参考资料

本文参考 GNU coreutils 中 df、du 的命令说明，以及 Linux 常见日志排查实践，示例为原创整理。