前言：磁盘空间不足的紧急应对
在企业IT运维中，Linux服务器磁盘空间耗尽（Disk Full）是较为常见的突发性故障之一。它通常会导致应用服务无法写入日志、数据库事务失败、定时任务崩溃，甚至引发系统内核 panic 导致服务不可用。当监控系统发出 /var 或 / 分区使用率超过90%的告警时，运维人员需要保持冷静，按照“定位-分析-清理-预防”的标准流程进行处理。
第一步：精准定位占用空间的文件或目录
很多新手运维人员在面对磁盘满的情况时，第一反应是直接删除疑似的大文件，这往往导致误删关键配置文件或数据。正确的做法是利用系统工具逐步缩小范围。
1. 确认具体挂载点的占用情况
首先，使用 df -h 命令查看各文件系统的空间使用情况，确定是哪个分区满了（通常是根分区 / 或日志分区 /var）：
操作命令：
df -h
解读：重点关注 Use% 接近 100% 的 Filesystem 列对应的 Mounted on 路径。
2. 自顶向下追踪大文件目录
使用 du 命令递归统计子目录大小，定位体积最大的父目录。建议加上 --max-depth=1 避免一次性输出过多信息：
操作命令：
cd /
sudo du -sh * | sort -rh | head -20
解读：按大小降序排列，前几个目录即为资源消耗大户。例如，若发现 /var 占用极大，则继续进入/var进行下一级排查。
第二步：常见“藏污纳垢”地点深度排查
根据经验，Linux服务器磁盘爆满通常由以下几类文件引起，请针对性检查：
1. 应用程序日志未轮转
这是最常见的原因。Java应用（如Tomcat, Spring Boot）、Web服务（Nginx, Apache）或业务中间件如果配置不当，日志文件会无限增长且未被切割归档。
- 排查位置：
/var/log/,/opt/app/logs/,/home/user/logs/ - 识别技巧：使用
ls -lhS /var/log按大小排序，寻找大于1GB的单个文件。 - 注意陷阱：某些进程（如Java GC日志、Python调试日志）可能锁定大文件，直接删除会导致进程报错。应先清空内容再删除，或直接截断文件（见下文清理策略）。
2. 临时文件与Core Dump
系统运行过程中产生的临时文件，以及程序崩溃生成的 core dump 文件，往往占用巨大空间且容易被忽视。
- 排查位置：
/tmp,/var/tmp,/var/crash - 识别技巧：检查是否有大量
core.*或.tmp后缀的大文件。
3. Docker/容器镜像层残留
如果服务器运行Docker容器，构建过程中的中间层镜像、停止的容器日志以及悬空镜像（Dangling Images）会迅速吃掉磁盘空间。
- 排查位置：Docker默认日志路径
/var/lib/docker/containers/ - 识别技巧：运行
docker system df查看容器镜像和数据占用详情。
4. 已删除但未释放的文件句柄
这是一个典型的“踩坑”点：文件虽然被删除了，但如果有进程仍持有该文件的句柄（File Descriptor），磁盘空间不会立即释放，但 df 显示仍满。
- 排查命令：
lsof | grep deleted | grep '(deleted)' | awk '{print $2, $9}' | sort -k2 -rh | head -20 - 解决方案：重启持有该句柄的服务进程，以释放被占用的磁盘空间。
第三步：安全高效的清理策略
定位到问题文件后，严禁直接使用 rm -rf 暴力删除，尤其是生产环境的关键日志或数据文件。请采用以下安全方式：
1. 日志文件截断（推荐用于正在写入的日志）
对于仍在被进程写日志的情况，直接删除可能导致进程写入失败。推荐使用“清空”代替“删除”：
操作命令：
# 方法一：使用cp
cp /dev/null /path/to/large.log
# 方法二：使用truncate
truncate -s 0 /path/to/large.log
解读：这将保留文件句柄，但将文件大小重置为0，瞬间释放空间且不影响服务运行。
2. 清理Docker无用资源
定期执行垃圾回收，清理不再使用的镜像和容器：
操作命令：
docker system prune -a --volumes
解读：警告：此操作会删除所有未运行的容器、悬空镜像和无主卷，请务必确认无重要数据后再执行。
3. 清理历史包缓存
对于基于RPM或Debian的系统，包管理器缓存可能占用数百MB：
- CentOS/RHEL:
yum clean all或dnf clean all - Ubuntu/Debian:
apt-get clean
第四步：建立长效预防机制
清理只是治标，配置完善的监控和自动化策略才是治本之策。
1. 实施日志轮转（Log Rotation）
确保所有应用日志均通过 logrotate 进行管理。检查 /etc/logrotate.d/ 下的配置文件，设定合理的保留天数（如30天）和最大文件大小（如100M），防止单文件无限增长。
2. 部署磁盘监控告警
不要等到磁盘100%才介入。建议在Zabbix、Prometheus或CloudWatch中设置分级告警：
- Warning: 使用率 > 80%
- Critical: 使用率 > 90%
- Emergency: 使用率 > 95%
3. 规范临时文件清理
编写脚本或利用 tmpwatch/systemd-tmpfiles，定期自动清理 /tmp 目录下超过24小时未被访问的文件，避免临时文件堆积。
总结
Linux服务器磁盘空间管理是IT运维的基本功。面对突发爆盘，遵循“先定位、后分析、再安全清理、最后建机制”**的逻辑，不仅能快速恢复业务，更能通过技术手段规避重复犯错的风险。建议定期复盘磁盘使用趋势，将被动救火转变为主动治理。