df显示已用空间远大于du统计总和，因df统计文件系统级块使用（含元数据、预留空间、未释放的已删除文件），而du仅统计有硬链接且未被删除的文件内容块。
df 显示已用空间远大于 du 统计总和
这是最常见现象，根本原因在于 df 读取的是文件系统级的块使用情况（含元数据、预留空间、未释放的已删除文件），而 du 只遍历当前目录下「有硬链接且未被删除」的文件内容块。两者统计口径不同，不是 bug，是设计使然。
典型诱因包括：
- 进程仍在写入已被
rm删除的文件（该文件的 inode 未被真正回收，du找不到路径，但df仍计入占用） - 文件系统启用了 root 预留空间（默认 5%，
df把它算进“已用”，但普通用户du不可见） - 存在稀疏文件（
du按实际数据块计，df按分配的逻辑大小或文件系统映射计） - 挂载了 overlayfs、aufs 等分层文件系统，上层删除操作不立即释放底层空间
如何定位被删除但仍被进程占用的文件
这类文件是导致 df 和 du 差值突增的首要怀疑对象。关键是找到那些状态为 deleted 但仍有进程打开的文件描述符。
执行以下命令：
lsof +L1 | grep -E 'DEL|deleted'
或更精准地按挂载点过滤（例如排查 /var）：
lsof +L1 /var 2>/dev/null | grep -v "No such process"
输出中会显示进程 PID、用户、文件路径（通常带 (deleted) 标记）。确认后可重启对应服务，或直接 kill 进程释放空间。
du 忽略某些目录导致统计偏小
du 默认不进入其他挂载点（如 /proc、/sys、/boot 若为独立分区），也不统计不可读目录（权限不足时静默跳过）。这会让结果看起来比 df 小很多，但其实只是没扫全。
检查是否遗漏挂载点：
findmnt -D /
重新运行 du 时加参数确保覆盖：
-
du -x：强制不跨文件系统（默认行为，一般不用加） -
du -x --exclude='/proc' --exclude='/sys' --exclude='/dev' /：显式排除虚拟文件系统（避免误统计） -
sudo du -shx /* 2>/dev/null：逐根目录统计，2>/dev/null屏蔽权限错误
注意：du 对软链接默认不跟随，若需统计目标文件，加 -L；但生产环境慎用，可能引发循环引用或跨挂载点误入。
ext4/xfs 预留空间与 df 的“已用”计算逻辑
以 ext4 为例，df 报告的 “Used” 包含 root 预留块（通常是总空间 5%），即使普通用户磁盘已满，root 仍能写入。这部分空间对 du 完全不可见，但会拉高 df 的已用比例。
查看预留比例：
tune2fs -l /dev/sda1 | grep "Reserved block count"
调整（仅限必要时，且需 unmount 或只读 remount）：
tune2fs -m 1 /dev/sda1
xfs 无固定百分比预留，但有 mkfs.xfs -m rtextsize= 等元数据相关保留，且 xfs_info 输出中的 data 段会显示实际可用块数，df 与其一致，du 仍只算文件内容。
真正容易被忽略的是：哪怕你把预留调成 0，只要存在未清理的 deleted 文件、快照（LVM/btrfs）、或 journal 日志膨胀，df 和 du 的差值依然存在——得回到 lsof +L1 和 journalctl --disk-usage 这类具体工具去查。
