Linux磁盘空间排查需按定位、分析、清理、预防四步进行：先用df -h查高占用分区，再用du和find找大文件，结合lsof +L1查已删未释放文件；清理时区分日志、缓存、临时文件并规避风险；最后通过定时监控、ncdu工具和空间预留实现长效管理。
Linux磁盘空间不足是导致服务异常、日志写入失败、甚至系统卡死的常见原因。排查关键不在于“看哪里满”，而在于“谁在持续占用、是否可清理、有无异常增长”。下面从定位、分析、清理、预防四个层面讲透。
一、快速定位哪个分区快满了
用 df -h 查看各挂载点使用率，重点关注 Use% 超过 85% 的分区。注意别只盯 / 根分区——/var、/home、/tmp、/var/log 等子目录常独立挂载，容易被忽略。
若 df 显示某分区 100% 却仍能写入，可能是被已删除但未释放句柄的大文件占着空间（常见于滚动日志或长时间运行的服务）。此时需结合 lsof 检查：
- lsof +L1 —— 列出所有已被删除但仍被进程打开的文件（deleted 状态）
- lsof +L1 | grep deleted | head -20 —— 快速筛选前20条
- 找到对应 PID 后，可重启相关服务或通知开发人员处理
二、精准找出大目录和大文件
df 告诉你“哪块地满了”，du 才告诉你“谁在上面盖了违章建筑”。进入高占用分区后，用以下命令逐层下钻：
- du -sh /* 2>/dev/null | sort -hr | head -10 —— 查根下前10大目录（屏蔽权限错误）
- du -sh /var/* 2>/dev/null | sort -hr | head -10 —— 进入 /var 后再筛
- find /var/log -name "*.log*" -size +100M -ls 2>/dev/null —— 找大于100MB的日志文件
特别注意：/var/log/journal（systemd-journald 日志）、/var/cache/apt/archives（Debian/Ubuntu 包缓存）、/root/.cache、容器镜像存储路径（如 /var/lib/docker）都是高频“空间黑洞”。
三、安全清理与风险规避
清理不是删得越快越好，而是要分清“能删”、“该轮转”、“需归档”：
-
日志类：优先用 logrotate 管理，不要直接 rm。临时清理可用
journalctl --vacuum-size=200M限制 journald 总大小 -
包缓存类：Ubuntu/Debian 执行
apt clean（清下载缓存）或apt autoremove --purge（卸载无用依赖） -
临时文件类：检查
/tmp和/var/tmp，确认无活跃进程依赖后可清空；建议配置 tmpfiles.d 规则自动清理 -
慎删项：不要手动删
/proc、/sys下内容；不确定的/var/lib子目录先查服务文档（如 MySQL 的ibdata1、Elasticsearch 的 data 目录）
四、建立可持续的空间监控习惯
靠人工排查是救火，自动化预警才是治本：
- 加 cron 定时任务，每天跑一次
df -h | awk '$5 > 85 {print $0}'，邮件或钉钉告警 - 用 ncdu（交互式磁盘分析工具）替代 du，支持键盘导航、排序、删除，效率翻倍
- 对关键业务目录（如应用日志目录），设置 inotify 监控文件增长速率，异常突增时触发告警
- 生产环境建议预留至少 15% 空间——不是为了“够用”，而是给 ext4 的保留块、日志扩展、临时排序等留缓冲
基本上就这些。排查磁盘空间不复杂，但容易忽略句柄残留、日志轮转失效、容器层叠加等隐性问题。养成定期看 df + 重点目录 du 的习惯，比等 OOM Killer 杀进程要轻松得多。
