根本原因是已删除但被进程占用的文件，df统计文件系统实际占用块而du只统计可见文件；用lsof +l1可定位，重启进程或清空/proc/pid/fd/对应句柄即可释放空间。
df -h 显示满盘，但 du 统计总和对不上
这种情况很常见：df -h 显示根分区 / 已用 100%，但 du -sh /* 加起来只有 60GB。根本原因通常是「已删除但未释放」的大文件——比如某个进程还在往 /var/log/app.log 写，你用 rm 删了它，文件名没了，但磁盘块没回收。
验证方式：lsof +L1 会列出所有被删除但仍被进程占用的文件（+L1 表示 link count = 0）。输出里如果看到类似 java 1234 root 12w REG 8,1 28G 0 /var/log/app.log (deleted)，说明就是它。
- 临时解决：重启对应进程（如
systemctl restart app.service），空间立刻释放 - 长期规避：日志类应用应配置
logrotate或用truncate -s 0清空而非rm - 注意：
lsof需要 root 权限才能看到所有进程，普通用户执行会漏掉关键项
du --max-depth=1 扫描太慢或权限拒绝
du -sh /* 在大系统上可能卡住，尤其遇到 /proc、/sys 或 NFS 挂载点；更糟的是，非 root 用户执行时会因权限不足跳过 /var/lib/docker、/usr 等目录，导致结果严重失真。
推荐组合命令：sudo du -shx --max-depth=1 / | sort -hr
-
-x：严格限制在同一文件系统内，避免跨挂载点（比如不误扫/mnt/backup） -
sort -hr：按人类可读格式反向排序，最大的排最前 - 若仍慢，先用
sudo du -shx --max-depth=1 /var | sort -hr | head -5锁定热点区域再深入
ncdu 交互式扫描比 du 更快更准
ncdu 不是简单把 du 结果加个界面，它边扫描边构建索引，对几十 GB 目录通常几秒完成，且支持键盘导航、实时排序、安全删除确认——这才是真正能落地的排查工具。
典型用法：sudo ncdu -x /（-x 同样防跨挂载点）
- 进入后按
s按大小排序，↑↓移动，Enter进入子目录 - 选中目标后按
d删除，会弹出二次确认，不会误删/etc这类路径 - 如果只想分析某目录（比如
/var），直接sudo ncdu /var，比全盘扫快得多 - 别用
ncdu /var/lib/docker—— Docker 数据应走docker system prune，硬删会破坏镜像层
find 查大文件时容易漏掉隐藏文件和硬链接
find / -type f -size +1G 看似直接，但默认忽略 . 开头的隐藏文件（如 ~/.cache），且对硬链接只统计一次，实际占用可能被低估。
更稳妥的写法：sudo find / -xdev -type f -size +500M -printf '%s %p\n' 2>/dev/null | sort -nr | head -20
-
-xdev和-x作用一致，防止跨设备扫描 -
-printf输出字节数+路径，避免ls -lh解析失败（某些路径含空格或特殊字符） -
2>/dev/null屏蔽权限错误，否则大量Permission denied会冲掉有效结果 - 查完别急着
rm：先file或head -n1确认文件类型，比如/root/install.iso可删，/var/lib/postgresql/14/main/base/16384/12345是数据库页，删了就丢数据
真正麻烦的从来不是“怎么删”，而是删之前无法判断文件归属和用途。哪怕 ncdu 显示 /var/log/journal 占了 15GB，也得先 journalctl --disk-usage 看是否可安全压缩，而不是直接 rm -rf。磁盘清理的核心逻辑是：先确认身份，再决定动作，最后验证释放。
