Linux 大文件刪除後磁盤空間未釋放？lsof 定位進程佔用與在線清空實戰

Linux 大文件刪除後磁盤空間未釋放？lsof 定位進程佔用與在線清空實戰

運維高頻場景：rm 刪除超大日志文件，df -h 顯示磁盤佔用毫無變化。根因在於 文件被進程持有打開，目錄項 (dentry) 已刪除，但 inode 連接數 > 0，數據塊不回收。本文提供標準排查與零停機釋放方案。

一、現象復現與原理

• 文件系統存儲分兩部分：目錄項 (文件名→inode) 與 數據塊 (inode→磁盤扇區)
• rm 僅刪除目錄項，若進程持有文件描述符 (fd)，inode 連接計數不歸零，數據塊標記為「使用中」
• df 統計數據塊使用量，du 遍歷目錄項統計，故 df > du

二、標準排查流程

# 1. 定位大文件 (示例：/tmp/access_log 66G)
du -s /tmp/* | sort -nr | head -3

# 2. 刪除文件
rm /tmp/access_log

# 3. 發現 df 未釋放，查找持有進程
lsof | grep deleted
# 輸出示例：
# httpd   1234 root  4u   REG  253,0  70G  12 /tmp/access_log (deleted)

關鍵列：PID (進程 ID)、FD (文件描述符)、SIZE (當前大小)、(deleted) 標記。

三、三種釋放方案對比

四、在線清空原理與最佳實踐

# 方法 1：重定向清空 (最常用)
: > /tmp/access_log
# 或
echo "" > /tmp/access_log

# 方法 2：truncate 系統調用 (需 root)
truncate -s 0 /tmp/access_log

• Shell 重定向 > 以 O_TRUNC 打開文件，內核將文件大小置 0，釋放數據塊，文件描述符保持有效
• 進程下一次 write() 從偏移量 0 繼續寫入，邏輯無感
• 適用於 Nginx/Apache/Tomcat/Jetty 等標準日志輸出進程

五、預防機制

1. 配置 logrotate 定期切割壓縮，copytruncate 模式無需重啟
2. 應用層接入日志框架 (Logback/Log4j2) 內建滾動策略，避免直接寫大文件
3. 監控告警：df -h 使用率 > 80% 觸發巡檢