使用lsof排查Linux磁盘空间泄露：原理、实战与预防

lsof命令磁盘空间泄露Linux系统运维

于 2026-07-07 15:30:30 修改

·本内容遵循CC 4.0 BY-SA版权协议

你是否曾经遇到过这样的情况：服务器磁盘空间莫名其妙被占满，但使用 du -sh 命令却找不到大文件？系统告警不断，业务面临中断风险，而你却束手无策？

这种情况在生产环境中并不少见。很多时候，问题并非文件本身过大，而是某些进程打开了文件却未正确释放，导致文件虽然已被删除，但磁盘空间仍被占用。这就是典型的"磁盘空间泄露"问题。

今天要介绍的 lsof 命令，正是解决这类问题的利器。它不仅能帮你快速定位问题根源，还能在关键时刻成为系统救火的第一工具。本文将深入解析如何用 lsof 排查磁盘空间泄露问题，并提供完整的实战案例。

1. 磁盘空间泄露的真正本质

很多人误以为磁盘空间问题就是文件太大，但实际上更常见的情况是：文件已被删除，但空间未被释放。

1.1 为什么删除文件后空间不释放？

在 Linux 系统中，当一个进程打开文件时，系统会为该文件分配一个文件描述符。即使你使用 rm 命令删除了这个文件，只要还有进程持有该文件的描述符，磁盘空间就不会被真正释放。

这是因为 Linux 的文件系统采用引用计数机制：

每个文件都有一个链接计数
rm 命令只是减少链接计数
当链接计数为0且没有进程使用时，空间才会释放

1.2 这种问题的典型症状

df -h 显示磁盘使用率很高
du -sh / 统计的实际文件大小却小很多
重启相关服务后磁盘空间突然释放
系统日志中出现 "No space left on device" 错误

2. lsof 命令的核心价值

lsof（list open files）是一个列出当前系统打开文件的工具。它的强大之处在于能够显示被删除但仍被进程占用的文件。

2.1 lsof 的基本工作原理

lsof 通过读取 /proc 文件系统来获取进程打开文件的信息。每个进程在 /proc/<pid>/fd/ 目录下都有其打开的文件描述符信息。

2.2 lsof 与其他工具的区别

工具	功能	适用场景
`df`	查看文件系统磁盘空间使用情况	快速了解整体磁盘状况
`du`	计算文件和目录磁盘使用量	查找大文件和大目录
`lsof`	列出打开的文件和网络连接	排查文件句柄泄露、空间泄露

3. 环境准备与基础配置

3.1 检查 lsof 是否安装

大多数 Linux 发行版都预装了 lsof，可以通过以下命令验证：

BASH

which lsof

lsof -v

如果未安装，根据系统类型选择安装命令：

BASH

# CentOS/RHEL

yum install lsof

# Ubuntu/Debian

apt-get install lsof

# macOS

brew install lsof

3.2 理解 lsof 的输出格式

在使用 lsof 前，先了解其输出各列的含义：

BASH

lsof

典型输出示例：

TEXT

COMMAND PID USER FD TYPE DEVICE SIZE/OFF NODE NAME

bash 1234 root cwd DIR 253,0 4096 131073 /home/user

python 5678 user txt REG 253,0 3028992 394221 /usr/bin/python3.8

nginx 9012 root 4u REG 253,0 0 524289 /var/log/nginx/access.log (deleted)

关键列说明：

COMMAND：进程名称
PID：进程ID
USER：进程所有者
FD：文件描述符
TYPE：文件类型
DEVICE：设备号
SIZE/OFF：文件大小/偏移量
NODE：节点号
NAME：文件名（deleted 表示已删除）

4. 使用 lsof 排查磁盘空间泄露的完整流程

4.1 第一步：确认磁盘空间异常

首先使用标准命令确认问题：

BASH

# 查看磁盘使用情况

df -h

# 查看根目录实际文件大小

du -sh /* 2>/dev/null | sort -hr | head -10

如果 df 显示使用率高，但 du 统计的文件总和小，基本可以确定存在空间泄露。

4.2 第二步：查找被删除但仍被占用的文件

这是最关键的步骤：

BASH

# 查找所有被删除但仍被进程占用的文件

lsof +L1

# 或者更详细的查询

lsof | grep deleted

+L1 选项表示查找链接计数小于1的文件，通常就是被删除的文件。

4.3 第三步：分析结果并定位问题进程

查看详细的被占用文件信息：

BASH

lsof | grep deleted | sort -k7 -hr

示例输出分析：

TEXT

java 2345 appuser 12u REG 253,0 1073741824 1234567 /tmp/large_file.log (deleted)

python 3456 webuser 3w REG 253,0 536870912 7654321 /var/log/app/debug.log (deleted)

从输出可以看到：

Java 进程 2345 占用了一个 1GB 的已删除文件
Python 进程 3456 占用了一个 500MB 的日志文件

4.4 第四步：计算被占用空间总量

统计所有被删除文件占用的总空间：

BASH

lsof | grep deleted | awk '{if($7~/^[0-9]+$/) print $7}' | awk '{sum+=$1} END {print "总占用空间:", sum/1024/1024, "MB"}'

5. 实战案例：Web 应用日志文件泄露排查

5.1 问题描述

某电商网站在大促期间突然出现磁盘空间告警，df -h 显示 /var 分区使用率达到 95%，但 du -sh /var/* 显示实际文件只占用了 60% 的空间。

5.2 排查过程

BASH

# 1. 确认问题

df -h /var

# 输出：/dev/sda1 50G 45G 2.0G 96% /var

du -sh /var/*

# 输出：总计约30G

# 2. 使用lsof查找被删除但仍被占用的文件

lsof +L1 | grep /var

发现关键信息：

TEXT

tomcat 12345 tomcat 44w REG 253,0 8589934592 1234567 /var/log/tomcat/catalina.out (deleted)

5.3 问题分析

Tomcat 进程打开了一个日志文件进行写入，但该文件后来被运维人员误删除。由于进程仍持有文件描述符，继续写入的数据实际上占用了磁盘空间，但通过 ls 命令看不到这个文件。

5.4 解决方案

BASH

# 方案1：重启Tomcat服务（生产环境谨慎）

systemctl restart tomcat

# 方案2：优雅地重新打开日志文件

# 查找Tomcat进程

ps aux | grep tomcat

# 向Tomcat发送USR1信号，重新打开日志文件

kill -USR1 12345

# 方案3：清空文件内容（如果仍需保留进程）

# 找到对应的文件描述符

ls -la /proc/12345/fd/ | grep deleted

# 清空文件内容

: > /proc/12345/fd/44

5.5 验证结果

BASH

# 检查空间是否释放

df -h /var

# 输出应显示使用率显著下降

# 确认被占用文件已处理

lsof +L1 | grep /var

# 应该看不到之前的被删除文件

6. 高级排查技巧与脚本化方案

6.1 定期监控脚本

创建定期检查脚本，预防空间泄露：

BASH

# !/bin/bash

# check_space_leak.sh

THRESHOLD=80 # 磁盘使用率阈值

PARTITION="/var" # 监控的分区

# 检查磁盘使用率

usage=$(df $PARTITION | awk 'NR==2 {print $5}' | sed 's/%//')

if [ $usage -gt $THRESHOLD ]; then

echo "警告: $PARTITION 分区使用率 ${usage}% 超过阈值 ${THRESHOLD}%"

# 检查是否存在空间泄露

leaked_files=$(lsof +L1 2>/dev/null | wc -l)

if [ $leaked_files -gt 0 ]; then

echo "发现可能的空间泄露问题:"

lsof +L1 2>/dev/null | head -10

echo "详细报告已保存到 /tmp/space_leak_report.txt"

lsof +L1 2>/dev/null > /tmp/space_leak_report.txt

else

echo "未发现明显的空间泄露问题，建议检查大文件"

设置定时任务：

BASH

# 每天检查一次

echo "0 2 * * * /root/check_space_leak.sh" >> /etc/crontab

6.2 按用户或进程分组统计

BASH

# 按进程名分组统计

lsof +L1 | awk '{print $1}' | sort | uniq -c | sort -nr

# 按用户分组统计

lsof +L1 | awk '{print $3}' | sort | uniq -c | sort -nr

# 详细统计脚本

lsof +L1 2>/dev/null | awk '

NR>1 {

proc[$1]++

user[$3]++

size[$1] += $7

}

END {

print "=== 按进程统计 ==="

for (p in proc) {

printf "进程: %-15s 文件数: %3d 总大小: %d MB\n", p, proc[p], size[p]/1024/1024

}

print "\n=== 按用户统计 ==="

for (u in user) {

printf "用户: %-10s 文件数: %3d\n", u, user[u]

}

7. 常见问题与精准排查方法

7.1 问题排查对照表

问题现象	可能原因	排查命令	解决方案
磁盘使用率100%但找不到大文件	文件被删除但进程仍占用	`lsof +L1`	重启进程或重新打开文件
日志文件轮转后空间不释放	日志进程未重新打开文件	`lsof \| grep deleted`	发送信号让进程重新打开日志
容器内磁盘空间异常	容器内进程文件句柄泄露	`lsof -p <pid>`	重启容器或进程
临时文件不断增长	程序创建临时文件未删除	`lsof \| grep /tmp`	检查程序逻辑，完善文件清理

7.2 lsof 常见参数详解

BASH

# 查看特定进程打开的文件

lsof -p 1234

# 查看特定用户打开的文件

lsof -u username

# 查看特定目录下被打开的文件

lsof +D /path/to/directory

# 查看特定文件类型的打开情况

lsof -i :80 # 查看80端口

lsof -i tcp # 查看所有TCP连接

lsof -c nginx # 查看nginx进程打开的文件

# 组合查询

lsof -u appuser -a -i tcp:8080

7.3 权限问题处理

普通用户可能无法查看所有进程信息：

BASH

# 使用sudo获取完整信息

sudo lsof +L1

# 或者切换到root用户

su - root

lsof +L1

8. 生产环境最佳实践与预防措施

8.1 预防空间泄露的工程实践

应用程序层面：

PYTHON

# Python示例：正确的文件处理方式

try:

with open('large_file.log', 'w') as f:

# 处理文件

f.write(data)

finally:

# 确保文件关闭

if 'f' in locals() and not f.closed:

f.close()

系统配置层面：

BASH

# 设置文件描述符限制

echo "* soft nofile 65535" >> /etc/security/limits.conf

echo "* hard nofile 65535" >> /etc/security/limits.conf

# 监控关键目录的文件句柄使用

watch "lsof /var/log | wc -l"

8.2 日志管理最佳实践

BASH

# 使用logrotate管理日志，避免手动删除

cat /etc/logrotate.d/tomcat

/var/log/tomcat/*.log {

daily

rotate 30

compress

missingok

notifempty

copytruncate # 关键：复制后截断，避免重启服务

delaycompress

}

8.3 监控告警体系

建立完整的监控体系：

磁盘使用率监控（阈值85%告警）
文件句柄使用监控
关键进程文件打开数监控
定期空间泄露扫描

9. 进阶技巧：lsof 与其他工具的组合使用

9.1 结合 awk 进行数据分析

BASH

# 找出占用空间最大的前10个已删除文件

lsof +L1 2>/dev/null | awk '

$7 ~ /^[0-9]+$/ {

size[$2] = $7 # 按PID记录大小

cmd[$2] = $1 # 记录命令名

file[$2] = $9 # 记录文件名

}

END {

for (pid in size) {

printf "PID: %-6s CMD: %-10s SIZE: %10d MB FILE: %s\n",

pid, cmd[pid], size[pid]/1024/1024, file[pid]

}

}' | sort -k6 -nr | head -10

9.2 实时监控脚本

BASH

# !/bin/bash

# real_time_monitor.sh

# 监控特定进程的文件打开情况

MONITOR_PID=$1

if [ -z "$MONITOR_PID" ]; then

echo "Usage: $0 <pid>"

exit 1

echo "开始监控进程 $MONITOR_PID 的文件打开情况..."

watch -n 5 "lsof -p $MONITOR_PID | grep -E '(REG|DIR)' | awk '{print \$5,\$7,\$9}' | sort | uniq -c | sort -nr"

9.3 容器环境下的特殊处理

在 Docker 环境中，需要在宿主机上排查：

BASH

# 查找容器进程在宿主机上的PID

docker inspect --format '{{.State.Pid}}' container_name

# 查看容器进程打开的文件

lsof -p <container_pid> | grep deleted

掌握 lsof 命令的真正价值不在于记住所有参数，而在于理解其背后的原理和适用场景。当磁盘空间出现异常时，能够快速想到使用 lsof 来排查被删除但仍被占用的文件，这本身就是运维能力的重要体现。

建议将本文中的脚本和命令保存到本地，在真正遇到问题时快速参考使用。更重要的是，建立预防性的监控体系，在问题发生前就能发现苗头，这才是高水平的运维实践。