linux中删除文件后空间未释放，是因为进程仍持有已删文件的句柄；可用lsof +l1定位，通过重启进程或清空/proc/pid/fd/fd安全释放，建议用logrotate和规范编码预防。
在Linux系统中，删除文件后磁盘空间未释放，通常是因为该文件仍被某个进程打开并持有句柄——即使文件已从文件系统中移除（unlink），只要进程未关闭该文件描述符，其占用的磁盘块就不会被真正回收。lsof 是定位这类“已删除但未释放”文件的关键工具。
识别被删除但仍被占用的文件
运行以下命令可列出所有状态为 (deleted) 的打开文件：
lsof +L1
该命令专用于显示链接计数（link count）为 0 的文件，即已被 rm 删除但仍有进程打开的文件。输出中会明确标注 DEL 或 (deleted) 字样，同时显示进程 PID、用户、文件路径（可能已不可见）及文件大小。
定位具体占用进程并分析影响
若已知磁盘满在某分区（如 /var），可限定路径搜索：
lsof /var | grep deleted
或结合 du 和 lsof 判断大文件：
- 先用 du -sh /var/* 2>/dev/null | sort -hr | head -10 找出可疑目录
- 再进该目录执行 lsof +L1 . 查看当前目录下被删仍占空间的文件
- 重点关注日志类进程（如 rsyslog、nginx、java 应用）、长时间运行的守护进程或未正确关闭文件句柄的脚本
安全释放空间的两种方式
确认无业务风险后，可选择以下任一方法释放空间：
- 重启对应进程：最稳妥。例如 systemctl restart rsyslog 或 kill -HUP [PID]（若支持平滑重载）
- 清空文件内容（不推荐用于生产核心服务）：若进程允许且文件可截断，可用 > /proc/[PID]/fd/[FD]（需 root 权限）。注意：这会破坏进程读写一致性，仅适用于调试或临时应急
切勿直接 kill -9 进程，可能导致数据丢失或服务异常。
预防此类问题的实用建议
日常运维中可主动规避：
- 日志服务启用 logrotate 并配置 copytruncate 或 create 指令，避免应用持续写入被删文件
- 应用开发时确保异常路径下也能 fclose() 或使用 try-with-resources 等自动资源管理机制
- 定期巡检：lsof +L1 | awk '{sum += $7} END {print "Total space held by deleted files:", sum/1024/1024, "MB"}'
