在 Linux 系统中，管理员或开发者经常会遇到一个令人困惑的问题：使用 df 命令检查磁盘使用情况时，显示某个分区已经 100% 满，但使用 du 命令统计文件占用时，却发现实际占用的空间远小于磁盘容量。这种矛盾的现象往往让人摸不着头脑，磁盘空间到底去哪儿了？本文将提供详细的排查方法和解决方案，确保你能彻底搞懂这个问题！

df 和 du 命令的原理

要理解 df 和 du 的矛盾，首先需要了解这两个命令的工作原理和它们之间的区别。

1. df 命令：查看文件系统的使用情况

df（disk free）命令用于显示文件系统的磁盘使用情况，包括总空间、已用空间、可用空间等信息。它的输出基于文件系统的元数据**，反映的是整个文件系统的状态，而不仅仅是用户文件的内容。

常用命令：

• o df -h: 以人性化方式（GB、MB 等单位）显示磁盘使用情况，便于阅读。

df -h

o df -i: 显示 inode 使用情况，检查 inode 是否耗尽。df -i

o df -T: 显示文件系统类型（如 ext4、xfs）。df -T

df 的核心特点是它依赖文件系统的元数据，因此某些特殊情况（如文件被删除但仍被进程占用）会导致 df 显示的空间占用与实际不符。

2. du 命令：统计目录或文件的实际占用

du（disk usage）命令用于统计指定目录或文件的实际磁盘占用，基于文件的实际大小进行计算。它会递归遍历目录，累加每个文件和子目录的占用空间。

常用命令：

• o du -sh /path: 以人性化方式显示指定路径的总占用。

du -sh /var

o du -ah /path | sort -rh: 显示路径下所有文件和目录的占用，按大小排序。du -ah /var | sort -rh | head -n 10

o du -s --apparent-size /path: 显示文件的表观大小（不考虑稀疏文件或压缩）。du -s --apparent-size /var

o du --block-size=1 /path: 以字节为单位显示占用，精确到字节级。du --block-size=1 /var

du 的核心特点是它只统计文件内容的实际占用，不会考虑文件系统元数据或被删除但仍被占用的文件句柄。

3. df 和 du 的差异总结

`

• o 数据来源：df 基于文件系统元数据，du 基于文件内容。
• o 统计范围：df 反映整个文件系统的状态，du 只统计指定路径的文件。
• o 特殊情况：df 会包含被删除但未释放的文件、挂载点覆盖等情况，而 du 不会。

了解了 df 和 du 的差异，我们可以开始分析 df 显示 100% 但 du 占用少的三种主要原因。

原因一：已删除但未释放的文件

这是 df 和 du 结果不一致的最常见原因。当一个文件被删除（rm 命令），但仍有进程持有该文件的句柄时，文件的内容仍然占用磁盘空间，直到所有持有该句柄的进程结束。这种情况下：

• o df：会显示文件占用空间，因为文件系统元数据中该空间仍被标记为已分配。
• o du：不会统计已删除文件，因为 du 无法访问已删除文件的路径。

1.如何排查

使用 lsof 或 fuser 命令可以找到仍在占用已删除文件的进程。

• o 使用 lsof 检查打开的已删除文件：

lsof | grep deleted

示例输出：

httpd   12345 apache  5u  REG  8,1  5242880  123456  /var/log/httpd/access.log (deleted)

输出显示进程 httpd（PID 12345）仍持有已删除的 /var/log/httpd/access.log 文件，占用 5242880 字节。

• o 使用 lsof 检查特定文件系统的已删除文件：

lsof /mount_point | grep deleted

例如：

lsof / | grep deleted

• o 使用 fuser 检查文件系统占用：

fuser -m /mount_point

示例输出：

/mount_point:  12345  67890

显示 PID 12345 和 67890 的进程正在使用该文件系统。

• o 检查 /proc 目录下进程打开的文件：

ls -l /proc/*/fd | grep deleted

示例输出：

lrwx------ 1 root root 64 Jun 24 10:00 /proc/12345/fd/5 -> /var/log/app.log (deleted)

2. 如何解决

找到占用已删除文件的进程后，可以通过以下方法释放空间：

• o 重启相关进程：

kill -HUP 12345

或：

systemctl restart service_name

例如：

systemctl restart httpd

• o 杀死进程（谨慎操作）：

kill -9 12345

• o 清空文件内容（不中断进程）：

如果不希望重启进程，可以清空文件内容以释放空间：

> /proc/12345/fd/5

• o 预防措施：o 定期清理日志文件（如使用 logrotate）。o 使用 truncate 命令定期截断大文件：

truncate -s 0 /var/log/large.log

原因二：挂载点覆盖

当一个新的文件系统被挂载到已有的挂载点上时，原挂载点下的文件会被“隐藏”，但它们仍然占用磁盘空间。这种情况下：

• o df：显示的是新挂载点的使用情况，可能接近 100%。
• o du：只统计新挂载点下的文件，无法访问被覆盖的旧文件。

1. 如何排查

• o 检查挂载点：

使用 mount 或 findmnt 命令查看当前挂载情况：

mount | grep /mount_point

或：

findmnt /mount_point

示例输出：

/dev/sdb1 /mnt ext4 rw,relatime 0 0

• o 检查是否存在重复挂载：

cat /proc/mounts | grep /mount_point

如果同一挂载点出现多次，说明可能存在覆盖。

• o 检查隐藏文件：

临时卸载挂载点，查看原始挂载点下的内容：

umount /mount_point
du -sh /mount_point

如果卸载后 du 显示大量占用，说明有隐藏文件。

2. 如何解决

• o 卸载多余挂载点：

umount /mount_point

• o 清理隐藏文件：

在卸载后，删除不需要的文件：

rm -rf /mount_point/unneeded_files

• o 重新挂载：

确保挂载到正确的路径：

mount /dev/sdb1 /mnt

• o 预防措施：o 在挂载前检查目标路径是否为空：

ls -a /mount_point

• o 使用 findmnt 定期检查挂载点状态。

原因三：文件系统元数据问题

文件系统的元数据（如 inode、保留块、坏块等）也可能导致 df 显示磁盘满，但 du 占用少。常见情况包括：

• o Inode 耗尽：文件系统 inode 数量不足，无法创建新文件。
• o 保留块占用：文件系统为 root 用户保留了一定比例的空间。
• o 坏块或文件系统损坏：导致空间被错误标记为已占用。

1. 如何排查

• o 检查 inode 使用情况：

df -i

如果 IUse% 显示 100%，说明 inode 已耗尽。

• o 查找占用 inode 的小文件：

find /path -type f -size -1M | wc -l

或：

for dir in $(find /path -type d); do echo "$(find $dir -type f | wc -l) $dir"; done | sort -n

• o 检查保留块：

某些文件系统（如 ext4）默认保留 5% 的空间给 root 用户：

tune2fs -l /dev/sda1 | grep "Reserved block count"

示例输出：

Reserved block count:     524288

• o 检查文件系统状态：

fsck /dev/sda1

注意：运行 fsck 前需卸载文件系统：

umount /dev/sda1

• o 检查坏块：

badblocks -v /dev/sda1

2. 如何解决

• o 释放 inode：

删除不必要的小文件：

find /path -type f -size -1M -delete

• o 调整保留块比例：

将保留块比例从 5% 降到 1%：

tune2fs -m 1 /dev/sda1

• o 修复文件系统：

运行 fsck 修复元数据问题：

fsck -y /dev/sda1

• o 重建文件系统（极端情况）：

如果文件系统损坏严重，备份数据后重建：

mkfs.ext4 /dev/sda1

• o 预防措施：o 创建文件系统时增加 inode 数量：

mkfs.ext4 -i 8192 /dev/sda1

• o 定期检查文件系统健康状态：

smartctl -a /dev/sda

综合排查流程

为方便读者快速定位问题，这里提供一个综合的排查流程：

1. 1. 运行基本命令：

df -h
du -sh /mount_point
df -i

1. 2. 检查已删除但未释放的文件：

lsof /mount_point | grep deleted
ls -l /proc/*/fd | grep deleted

1. 3. 检查挂载点覆盖：

mount | grep /mount_point
cat /proc/mounts
umount /mount_point && du -sh /mount_point

1. 4. 检查文件系统元数据：

df -i
tune2fs -l /dev/sda1 | grep "Reserved block count"
fsck /dev/sda1

1. 5. 根据排查结果采取对应措施。

总结

df 显示磁盘 100%，但 du 占用少的情况，通常由以下三种原因导致：

1. 1. 已删除但未释放的文件：进程持有已删除文件的句柄，需通过 lsof 或 fuser 排查并释放。
2. 2. 挂载点覆盖：新挂载点隐藏了旧文件，需检查 mount 和 findmnt。
3. 3. 文件系统元数据问题：inode 耗尽、保留块或坏块问题，需通过 df -i、tune2fs 和 fsck 解决。

预防建议：

• o 定期清理日志和临时文件，使用 logrotate 或 cron 任务。
• o 挂载前检查目标路径，避免覆盖。
• o 创建文件系统时合理规划 inode 和保留块比例。
• o 定期运行 fsck 和 smartctl 检查磁盘健康。