Linux 日志清理配方：用 find、du 和 gzip 控制磁盘占用

Linux 服务器上的磁盘报警，很多时候不是数据库突然变大，而是应用日志、访问日志或临时归档文件持续堆积。处理这类问题不能只靠一条 rm 命令，因为删错目录、删掉正在写入的日志，都会带来新的故障。

这篇文章按“配方卡片”的方式整理一套稳定做法：先看哪里占空间，再压缩旧日志，最后删除超过保留期的归档。示例以 /var/log/myapp 为目标目录，你可以替换成自己的日志路径。

问题：日志目录为什么容易占满磁盘

先看一个常见现场：应用每天写一个日志文件，错误峰值时单个文件可能涨到几百 MB；部署脚本还会把旧日志复制成备份。几周之后，磁盘使用率就从 60% 慢慢涨到 90%，服务本身却没有明显异常。

处理顺序建议固定下来：先定位大目录，再确认文件年龄，然后压缩可保留的旧日志，最后删除超过保留期的归档。这个顺序比直接删除更稳，因为每一步都有可观察结果。

最小配方：三条命令先跑通

第一步先看目录体积。不要一上来递归删除，先确认是哪个目录真正占空间。

du -h --max-depth=1 /var/log/myapp | sort -h

第二步列出 7 天前的普通日志文件，只打印，不改动文件。

find /var/log/myapp -type f -name "*.log" -mtime +7 -print

第三步确认清单无误后，把旧日志压缩成 .gz。这里使用空字符分隔，避免文件名里有空格时被拆错。

find /var/log/myapp -type f -name "*.log" -mtime +7 -print0 | xargs -0 -r gzip -9

这三条命令完成的是“看清楚、列清单、再压缩”。如果你是首次处理线上目录，建议至少先跑一遍 -print，把输出保存给同事复核。

关键命令：find、du、gzip 各负责什么

du 负责回答“哪里占空间”。排查时优先用 --max-depth=1 从上层目录看起，再逐层下钻，不要直接对根目录做深度扫描。

du -h --max-depth=1 /var/log | sort -h
du -h --max-depth=1 /var/log/myapp | sort -h

find 负责回答“哪些文件符合规则”。常用条件包括文件类型、文件名、修改时间和大小。

find /var/log/myapp -type f -name "*.log" -mtime +7 -size +10M -print

gzip 负责把旧日志压缩。压缩后可以显著降低冷日志占用，但不要压缩正在写入的当前日志。一般可以通过文件名日期、修改时间和应用日志滚动策略一起判断。

变体：按大小、时间和文件名调整规则

实际项目中，清理规则通常不是单一条件。下面给几个常见变体。

只处理 100 MB 以上的大日志：

find /var/log/myapp -type f -name "*.log" -size +100M -print

只压缩 3 天前的访问日志，跳过错误日志：

find /var/log/myapp -type f -name "access-*.log" -mtime +3 -print0 | xargs -0 -r gzip -9

删除 30 天前的压缩归档：

find /var/log/myapp -type f -name "*.gz" -mtime +30 -print0 | xargs -0 -r rm -f

如果业务要求保留最近 90 天日志，把 +30 改成 +90 即可。关键是先把规则写成打印清单，确认命中文件符合预期，再接上压缩或删除动作。

兼容坑：不同 Linux 环境要注意什么

第一，xargs -r 是 GNU 版本常用参数，作用是没有输入时不运行后面的命令。部分精简系统的 xargs 可能不支持这个参数，脚本上线前要在目标机器验证。

第二，-mtime +7 表示修改时间超过 7 个 24 小时，不是自然日。假如你按业务日期滚动日志，文件名日期和修改时间可能不完全一致。

第三，压缩日志前要确认应用是否还在写这个文件。对正在写入的文件压缩，可能造成日志切割异常。更稳的方式是让应用或日志工具先完成滚动，再清理旧文件。

第四，删除动作不要省略清单检查。线上建议先把命中文件写入审计日志，再删除。

完整片段：可放进定时任务的清理脚本

下面是一份可直接改路径使用的脚本。它会先打印目录体积，再压缩 7 天前的日志，最后删除 30 天前的压缩归档。

#!/usr/bin/env bash
set -euo pipefail

LOG_DIR="/var/log/myapp"
AUDIT_LOG="/var/log/myapp-clean.log"

echo "[$(date '+%F %T')] start log clean: ${LOG_DIR}" | tee -a "${AUDIT_LOG}"

echo "[size before]" | tee -a "${AUDIT_LOG}"
du -h --max-depth=1 "${LOG_DIR}" | sort -h | tee -a "${AUDIT_LOG}"

echo "[compress old log files]" | tee -a "${AUDIT_LOG}"
find "${LOG_DIR}" -type f -name "*.log" -mtime +7 -print | tee -a "${AUDIT_LOG}"
find "${LOG_DIR}" -type f -name "*.log" -mtime +7 -print0 | xargs -0 -r gzip -9

echo "[remove old archives]" | tee -a "${AUDIT_LOG}"
find "${LOG_DIR}" -type f -name "*.gz" -mtime +30 -print | tee -a "${AUDIT_LOG}"
find "${LOG_DIR}" -type f -name "*.gz" -mtime +30 -print0 | xargs -0 -r rm -f

echo "[size after]" | tee -a "${AUDIT_LOG}"
du -h --max-depth=1 "${LOG_DIR}" | sort -h | tee -a "${AUDIT_LOG}"

echo "[$(date '+%F %T')] finish log clean" | tee -a "${AUDIT_LOG}"

加入定时任务前，先把删除命令临时替换为打印清单，至少跑一次人工确认。确认无误后，再把脚本放入 crontab：

30 2 * * * /usr/local/bin/myapp-log-clean.sh

总结一下：Linux 日志清理的核心不是某个神奇参数，而是顺序和边界。先用 du 找目录，再用 find 生成清单，确认后用 gzip 压缩旧文件，最后按保留期删除归档。只要每一步都有输出和审计，磁盘清理就会稳定很多。