Linux du命令排查大文件，定位占用磁盘文件

知识分享

2026-09-23 13:00

29 阅读

当服务器提示磁盘空间不足时，du 命令是排查大文件最直接的工具。
它按目录逐层统计文件占用，配合 sort 和 find 能快速定位到具体文件；
如果删了文件空间没释放，再用 lsof 检查是否有进程占用。
下面从零开始，一步一步操作。

先确认磁盘使用率，再决定排查方向

登录服务器后，先用 df -h 查看哪个分区快满了。
输出中的 Use% 列超过 80% 就要重点关注，Mounted on 列告诉你对应目录，比如 / 或 /www。

df -h

假设看到 / 分区已用 95%，随后就对该分区下的目录执行 du。
如果 /www 单独挂载且满了，就优先查 /www。

du 默认统计当前目录下所有子目录的大小。
加上 -h 让结果带单位，-s 只显示汇总，--max-depth=1 控制只展开一层。

从根目录开始，按占用从大到小排序，只看前 10 项：

du -h --max-depth=1 / 2>/dev/null | sort -rh | head -10

2>/dev/null 用来忽略权限不足的报错，sort -rh 按人类可读大小倒序排列。
假设输出显示 /var 占用 20G，就继续往下钻：

du -h --max-depth=1 /var 2>/dev/null | sort -rh | head -10

重复这个过程，直到定位到具体的大目录，比如 /var/log 或 /var/lib/docker。

关键判断：如果某一层目录大小突然占了几十G，基本可以锁定问题范围。du 统计的是文件实际占用的磁盘块，比 ls -l 看到的文件大小更接近真实占用。

知道大目录后，用 find 按大小筛选文件，再配合 du 确认实际占用。
下面命令列出 /var/log 下大于 500M 的文件，并显示大小：

find /var/log -type f -size +500M -exec du -h {} + | sort -rh

如果文件数量多，可以先列前 20 个：

find /var/log -type f -size +100M -exec du -h {} + 2>/dev/null | sort -rh | head -20

找到目标文件后，先用 ls -lh 确认修改时间，再决定是清理、轮转还是迁移。不要直接删除正在写入的日志文件，否则可能导致进程继续占用空间但文件不可见。

有时候 du 显示目录已经变小，但 df 看磁盘还是满的。
这通常是因为文件被删除后，仍有进程持有文件句柄。
用 lsof 查找已删除但被占用的文件：

lsof | grep deleted | grep -i log

输出中会显示进程名、PID 和文件路径。
常见的处理方式是重启对应服务，或者清空文件内容而不是删除文件。
例如清理 Nginx 日志时，用重定向清空：

> /var/log/nginx/access.log

这样进程会继续写入同一个文件，空间立即释放。
如果确认可以重启服务，执行 systemctl restart nginx 也能释放被占用的句柄。

不要直接 rm -rf 大目录：先确认目录用途，比如 /var/lib/mysql 是数据库文件，删了会导致数据丢失。
du 统计结果和 df 不一致是正常的：du 统计文件，df 统计文件系统块，被进程占用的已删除文件会让两者出现差异。
挂载点会干扰 du 结果：如果子目录是单独挂载的分区，du 默认会跨分区统计。加 -x 参数可以限制只统计当前文件系统，例如 du -hx --max-depth=1 /。
权限不足会漏掉文件：普通用户执行 du 可能看不到某些目录，排查时建议用 sudo 或 root 用户。

清理或处理后，重新执行 df -h 查看对应分区使用率是否下降。
如果空间已释放，Use% 会明显降低。
再对之前定位的大目录执行一次 du -sh，确认目录大小已恢复正常。

df -h / && du -sh /var/log

如果 df 显示空间没变，但 du 显示目录已变小，优先检查 lsof | grep deleted，确认是否有进程仍占用已删除文件。

du 和 df 结果差很多，以哪个为准？
两者统计维度不同。du 看文件占用，df 看文件系统剩余块。排查磁盘满时，先看 df 确认分区，再用 du 逐层定位；两者差异大时，用 lsof 检查已删除但被占用的文件。

为什么 du 统计某个目录很慢？
目录下文件数量太多时，du 需要遍历所有 inode，速度会下降。可以先用 --max-depth=1 限制层级，或者用 find 按大小直接筛选，减少遍历范围。

清理日志后需要重启服务吗？
如果日志文件被删除但服务仍在写入，建议重启服务或使用 > 文件名 清空。直接删除文件会导致空间不释放，重启后进程会创建新文件。

du 能统计隐藏文件吗？
可以。du 默认包含隐藏文件和目录，只要当前用户有读取权限。如果看不到，检查是否因权限不足被跳过。