Linux磁盘使用统计命令du和df区别-linux运维-PHP中文网

linux磁盘使用统计命令du和df区别

du

登录后复制

和

df

登录后复制

这两个命令，在Linux系统里都是我们用来查看磁盘空间的神器，但它们统计的角度和方法截然不同。说白了，

df

登录后复制

关注的是文件系统整体的“账本”，它看的是哪些块被标记为已用，哪些是空闲的；而

du

登录后复制

则更像是一个“审计员”，它会挨个去数文件和目录的大小，然后加起来告诉你。这就导致它们的结果经常不一样，尤其是在系统出现一些“异常”情况时，这种差异会变得非常明显。理解它们的区别，是准确判断磁盘空间使用情况的关键。

解决方案

df

登录后复制

命令，全称是“disk free”，它主要报告的是文件系统（filesystem）的整体使用情况。当你运行

df -h

登录后复制

时，它会遍历所有已挂载的文件系统，显示每个文件系统的总容量、已用空间、可用空间以及使用百分比。它的数据来源是文件系统的元数据，也就是文件系统本身记录的块分配信息。所以，

df

登录后复制

的数据是“权威的”，它反映了操作系统内核层面，文件系统到底认为自己用了多少空间。

du

登录后复制

命令，全称是“disk usage”，它则是从文件和目录的角度出发。当你对某个目录运行

du -sh

登录后复制

时，它会递归地遍历该目录下的所有文件和子目录，然后把所有文件的大小累加起来。它统计的是“文件实际占用的空间”，也就是我们通常理解的，一个文件有多大。

du

登录后复制

的数据是“用户视角的”，它反映了你通过文件系统路径能看到的所有文件加起来有多大。

两者最大的区别在于，

df

登录后复制

统计的是“分配给文件系统的块”，而

du

登录后复制

统计的是“文件内容所占的块”。这种差异在大多数时候并不明显，但一旦出现某些特定情况，就会导致巨大的差异。

为什么df和du的统计结果经常不一致？

这绝对是Linux系统管理员最常遇到的困惑之一。我个人觉得，最主要的原因，也是最让人头疼的，就是“被删除但仍被进程占用的文件”。

想象一下，你有一个日志文件，比如

/var/log/myapp.log

登录后复制

，它可能每天都在增长。某个日志轮转程序为了释放空间，把这个文件删除了（

rm /var/log/myapp.log

登录后复制

），然后创建了一个新的同名文件。这时候，

du

登录后复制

命令会立刻发现旧文件不见了，所以它的统计结果会变小。但是，如果你的

myapp

登录后复制

服务进程在文件被删除时，仍然持有对那个旧日志文件的文件句柄（descriptor），那么操作系统就不会真正释放那些被旧文件占用的磁盘块。在文件系统的角度看来，这些块仍然是“已使用”状态。所以，

df

登录后复制

的统计结果就不会下降，甚至可能保持不变。

要验证这种情况，你可以使用

lsof

登录后复制

命令。运行

lsof | grep deleted

登录后复制

，它会列出所有被进程打开但已经被删除的文件。你会看到类似这样的输出：

COMMAND     PID   USER   FD   TYPE DEVICE SIZE/OFF NODE NAME
java      12345   root   12w   REG    8,1 12345678 1234 /var/log/myapp.log (deleted)

登录后复制

这里的

SIZE/OFF

登录后复制

就是那个被删除文件仍然占用的空间。解决办法通常是重启相关的服务进程，让它释放旧的文件句柄，这样文件系统才会真正回收那些块。

再者，还有一些不那么常见但也会导致差异的情况。比如：

硬链接：
```
du
```
登录后复制
在计算时可能会多次计算同一个文件的空间（取决于参数），而
```
df
```
登录后复制
只计算一次实际的磁盘块。
稀疏文件（Sparse Files）： 稀疏文件在磁盘上并不占用实际的零字节空间，
```
du
```
登录后复制
通常会报告其逻辑大小（包含空洞），而
```
df
```
登录后复制
则报告其物理大小（实际占用的块）。
文件系统块大小：
```
df
```
登录后复制
报告的是文件系统层面的块使用情况，而
```
du
```
登录后复制
则可能受到其自身默认块大小的影响。不过话说回来，这通常不会造成巨大的差异。
权限问题：
```
du
```
登录后复制
在遍历目录时，如果遇到没有读取权限的目录或文件，它就无法计算其大小，从而导致统计结果偏小。
```
df
```
登录后复制
则没有这个问题，因为它直接查询文件系统元数据。

如何准确查找占用磁盘空间的文件或目录？

当你想知道具体是哪些文件或目录吃掉了你的磁盘空间时，

du

登录后复制

命令就是你的最佳拍档。它能让你一层层地钻进去，找到那些“大胃王”。

最常用的组合是

du -sh

登录后复制

。

```
s
```
登录后复制
(summary)：只显示总计，不列出每个子目录。
```
h
```
登录后复制
(human-readable)：以人类可读的格式显示大小（KB, MB, GB）。

例如，要查看当前目录下所有文件和子目录的总大小：

du -sh .

登录后复制

如果你想知道当前目录下，哪些子目录占用空间最大，可以这样：

du -sh * | sort -rh | head -n 10

登录后复制

这条命令会列出当前目录下所有文件和目录的大小，然后按大小倒序排列，并显示前10个最大的。这招特别好用，能让你快速定位问题。

魔乐社区

天翼云和华为联合打造的AI开发者社区，支持AI模型评测训练、全流程开发应用

102

查看详情

如果你要检查某个特定路径，比如

/var/log

登录后复制

，可以这样做：

du -sh /var/log

登录后复制

然后，如果你想深入到

/var/log

登录后复制

里面，看是哪个子目录或文件最大，可以：

du -sh /var/log/* | sort -rh | head -n 10

登录后复制

需要注意的是，

du

登录后复制

默认会跨越文件系统边界。如果你只想统计当前文件系统内的使用情况，不想把挂载点下的其他文件系统也算进来，可以使用

-x

登录后复制

参数：

du -shx /path/to/directory

登录后复制

这样，

du

登录后复制

就不会进入

/path/to/directory

登录后复制

下的任何挂载点。

对于更复杂的磁盘空间分析，我个人推荐使用

ncdu

登录后复制

这个工具。它是一个基于ncurses的磁盘使用分析器，界面非常直观，你可以像在文件管理器里一样，上下左右移动，查看每个目录的大小，甚至直接删除文件。安装也很简单，比如在Debian/Ubuntu上就是

sudo apt install ncdu

登录后复制

，CentOS/RHEL上是

sudo yum install ncdu

登录后复制

。

磁盘空间不足时，应该优先检查哪些地方？

当你的服务器突然报出磁盘空间不足的警报时，别慌，我们有套相对高效的排查流程。

确认哪个文件系统满了： 这是第一步，也是最关键的一步。运行
```
df -h
```
登录后复制
，一眼就能看出是哪个挂载点（比如
```
/
```
登录后复制
、
```
/var
```
登录后复制
、
```
/home
```
登录后复制
）的空间快用完了。这能帮你缩小排查范围。
检查“幽灵文件”（deleted but open files）： 如果
```
df
```
登录后复制
显示某个分区快满了，但你用
```
du -sh /path/to/that/partition
```
登录后复制
去统计，却发现
```
du
```
登录后复制
的结果远小于
```
df
```
登录后复制
，那么八九不离十，就是有被删除但仍被进程占用的文件。这时候，毫不犹豫地运行
```
lsof | grep deleted
```
登录后复制
。找到那些占用大空间且被标记为
```
(deleted)
```
登录后复制
的文件，然后根据
```
COMMAND
```
登录后复制
和
```
PID
```
登录后复制
定位到对应的服务。如果可以，重启该服务，或者直接kill掉它（谨慎操作，确保不会影响业务），通常就能立刻释放空间。
定位大文件或大目录： 如果
```
df
```
登录后复制
和
```
du
```
登录后复制
的结果都显示空间被大量占用，那么就是有实实在在的文件在吃空间。这时候，你需要深入到第一步确认的那个满载的文件系统根目录，用
```
du
```
登录后复制
命令进行排查。
- 比如，如果
```
/
```
  登录后复制
  分区满了，你可以从
```
/
```
  登录后复制
  开始：
```
du -shx /* | sort -rh | head -n 20
```
  登录后复制
  。这会列出根目录下最大的20个一级目录。
- 根据结果，你就能知道是哪个目录占用了大部分空间（比如
```
/var
```
  登录后复制
  、
```
/opt
```
  登录后复制
  、
```
/home
```
  登录后复制
  ）。
- 然后，继续深入那个大目录，重复这个过程，直到你找到具体的“罪魁祸首”文件或目录。例如，如果发现
```
/var
```
  登录后复制
  很大，那就
```
du -shx /var/* | sort -rh | head -n 20
```
  登录后复制
  。
常见的“大胃王”区域：
- ```
/var/log/
```
  登录后复制
  ：日志文件，尤其是那些没有配置好轮转策略的应用程序日志，或者系统日志（如
```
syslog
```
  登录后复制
  、
```
journal
```
  登录后复制
  ）。
- ```
/tmp/
```
  登录后复制
  ：临时文件目录，虽然系统会定期清理，但有时会有残留。
- ```
/home/
```
  登录后复制
  ：用户家目录，用户可能下载了大量文件、图片、视频等。
- ```
/opt/
```
  登录后复制
  ：一些第三方软件的安装目录，有时会放置大量数据或备份。
- ```
/var/lib/docker/
```
  登录后复制
  ：如果你使用了Docker，这个目录会存放镜像和容器的数据。
- 数据库文件：MySQL、PostgreSQL等数据库的数据文件通常会非常大。
- 备份目录：如果你有定期备份，但没有及时清理旧备份，它们会迅速填满磁盘。
利用
```
find
```
登录后复制
命令： 当你需要查找特定类型、大小或时间的旧文件时，
```
find
```
登录后复制
命令非常强大。
- 查找所有大于1GB的文件：
```
find /path/to/check -type f -size +1G -print0 | xargs -0 du -h
```
  登录后复制
- 查找所有在30天前修改过的文件：
```
find /path/to/check -type f -mtime +30
```
  登录后复制
- 结合
```
delete
```
  登录后复制
  参数（谨慎使用）：
```
find /path/to/check -type f -name "*.log" -mtime +7 -delete
```
  登录后复制
  (删除7天前的
```
.log
```
  登录后复制
  文件)