Linux 磁盘空间异常排查：从 df 到 lsof 的完整路径

一、先分清 df 和 du 的差异

线上磁盘告警时，第一反应通常是执行 df -h。它统计的是文件系统层面的块使用量，而 du -sh 统计的是目录下文件的实际占用。两者经常对不上，最常见的原因是文件已被删除但仍被进程占用。

df -h
du -sh /* 2>/dev/null | sort -h | tail -n 10

如果 df 显示 95%，而 du 加总只有 40%，基本可以判定存在「已删除但未释放」的文件。

二、定位被删除但仍打开的文件

Linux 下删除文件只是移除目录项，只要还有进程持有文件描述符，数据块就不会释放。可以用 lsof 查找：

lsof +L1

输出中 NLINK 为 0 的条目就是这类文件。找到对应进程后，重启进程或让进程重新打开日志文件即可释放空间。对于日志场景，更优雅的做法是通知进程重新打开文件，而不是直接 kill：

kill -USR1 <pid>

多数服务（Nginx、部分 Java 应用）收到 USR1 会重新打开日志文件。

三、inode 耗尽也会报「磁盘满」

df -i 查看 inode 使用率，这一点常被忽略。大量小文件（缓存、会话文件、临时上传分片）会先耗尽 inode，此时 df -h 可能还有空间，但写入会直接失败并提示 No space left on device。

df -i
find /var/tmp -type f | wc -l

排查时按目录统计文件数量，找到小文件聚集的目录后，优先检查业务是否缺少清理策略。

四、日志与临时目录的治理

常见的高占用目录包括 /var/log、/tmp、容器运行目录和应用的本地缓存。建议：

1. 日志按天切割并设置保留天数，避免单文件无限增长；
2. 临时文件写入后及时清理，或使用带过期策略的目录；
3. 容器场景注意镜像层与可写层分离，日志不要直接写在容器可写层；
4. 对关键目录配置监控告警，而不是等到 95% 才处理。

五、一次完整的排查顺序

建议固定为：df -h 看整体 → df -i 看 inode → du 定位大目录 → lsof +L1 找已删除文件 → 检查日志与临时目录 → 确认清理策略。顺序固定后，多数磁盘问题可以在几分钟内定位，而不是盲目删除文件。

需要强调的是，清理只是止血手段。真正要解决的是「为什么会涨到 95%」：是日志没有轮转，还是临时文件没有生命周期，抑或是业务写入量突增。把根因补上，告警才不会反复出现。