Linux 删除了大文件但 df 显示磁盘空间没释放怎么回事？

Question

仓乃文 · Accepted Answer

这是 Linux 运维中最经典的坑之一：用 rm 删除了一个几十 GB 的日志文件，df -h 显示磁盘还是满的，但 du -sh 显示空间已经释放了。原因是文件被进程打开（持有文件句柄），rm 只是删除了目录项，进程仍然可以通过文件描述符读写文件，磁盘空间不会释放直到进程关闭文件句柄。问题复现： ```bash # 发现磁盘满了 df -h # /dev/sda1 100G 95G 5G 95% / # 找到大文件并删除 rm -f /var/log/app.log # 再看磁盘，还是满的！ df -h # /dev/sda1 100G 95G 5G 95% / # 但 du 显示空间已释放 du -sh /var/log/ # 2.0G /var/log/ ``` 排查方法： ```bash # 1. 用 lsof 查找已删除但仍被占用的文件 sudo lsof | grep deleted # COMMAND PID USER FD TYPE DEVICE SIZE/OFF NODE NAME # java 1234 app 3w REG 8,1 50000000000 1234 /var/log/app.log (deleted) # 可以看到 java 进程（PID 1234）仍持有这个 50GB 的已删除文件 # 2. 按文件大小排序，找到最大的 sudo lsof | grep deleted | sort -k7 -rn | head -10 # 3. 查看进程打开了哪些文件 ls -l /proc/1234/fd # lrwx------ 1 app app 64 ... 3 -> /var/log/app.log (deleted) ``` 修复方案： ```bash # 方案 1：重启占用进程（最彻底） sudo systemctl restart app # 或 sudo kill -9 1234 # 进程退出后文件句柄释放，磁盘空间立即回收 # 方案 2：清空文件内容（不删除文件，推荐） # 正确的清理大日志文件方式： > /var/log/app.log # 或 cat /dev/null > /var/log/app.log # 清空内容但保留文件句柄，进程继续写入没问题 # 方案 3：通过 /proc 清空（进程无法重启时） echo > /proc/1234/fd/3 # 直接清空进程持有的文件描述符指向的内容 ``` 预防措施： ```bash # 1. 清理日志用 > 而不是 rm > /var/log/app.log # 正确 rm -f /var/log/app.log # 危险！可能导致空间不释放 # 2. 配置日志轮转（logrotate） cat > /etc/logrotate.d/app << EOF /var/log/app.log { daily rotate 7 compress delaycompress missingok notifempty copytruncate } EOF # copytruncate 是关键：先复制再清空，不需要重启进程 # 3. 监控 df 和 du 的差异 df -h | awk "NR>1 && \$5+0 > 80 {print \$0}" ``` 补充说明： - df 统计的是文件系统层面的磁盘使用，du 统计的是目录下可见文件的大小 - 已删除但被进程占用的文件，df 算占用，du 算不占用，所以两者结果不一致 - 规则：清理日志用 > 清空，不要用 rm 删除正在写入的文件 - copytruncate 是 logrotate 处理不能重启服务的日志轮转方案