如何在 Linux 下快速找到被删除的文件?

关注+星标公众号，不错过精彩内容

编排 | strongerHuang

微信公众号 | 嵌入式专栏

日常运维过程中，我们经常需要处理磁盘空间问题，当接到告警后，第一时间会去找那些大文件，一般比如 Centos，可能大文件就是：

 /var/log/messages。

但有的时候，会出现怎么也查不到大文件的情况，通过 du 查找的时候，统计出来的大小，跟 df 显示的占用空间对应不上。

如果通过 df -i 查看inode没有满的话，那么极有可能，是有大文件被直接rm了，但是仍然有进程打开了这个文件。

这种情况，由于进程没有退出，因此文件占用的空间并不会释放；直到进程退出，磁盘空间才会真正释放。

嵌入式专栏

1

如何找到是哪个进程打开了该文件

Linux上，由于进程仍然存活，因此可以通过查看所有进程打开的 fd，如果该文件已经被删除，则查看时，会显示(deleted)。

示例如下：

$ sudo find /proc/*/fd -ls | grep  '(deleted)'
   388609      0 lrwx------   1 zerotier-one zerotier-one       64 Aug 21 00:19 /proc/29400/fd/4 -> /tmp/ibpX85Vd\ (deleted)
   388610      0 lrwx------   1 zerotier-one zerotier-one       64 Aug 21 00:19 /proc/29400/fd/5 -> /tmp/ibCwAgAj\ (deleted)
   388611      0 lrwx------   1 zerotier-one zerotier-one       64 Aug 21 00:19 /proc/29400/fd/6 -> /tmp/ibRZ5rep\ (deleted)
   388612      0 lrwx------   1 zerotier-one zerotier-one       64 Aug 21 00:19 /proc/29400/fd/7 -> /tmp/ibBuNEzA\ (deleted)
   388616      0 lrwx------   1 zerotier-one zerotier-one       64 Aug 21 00:19 /proc/29400/fd/11 -> /tmp/ibG68kpG\ (deleted)

嵌入式专栏

2

如何避免这种情况

不要直接删除该文件，而是通过将文件 truncate 的方式，释放磁盘空间。

一种方式是：

cat /dev/null > ${filename}

或者（新get！）

: > ${filename}

如此，可以快速释放空间。

嵌入式专栏

3

参考内容

参考地址：

https://ieevee.com/tech/2020/09/30/show-file-deleted.html

https://unix.stackexchange.com/questions/68523/find-and-remove-large-files-that-are-open-but-have-been-deleted

（公号不支持外链接，请复制链接到浏览器打开）

免责声明：本文素材来源网络，版权归原作者所有。如涉及作品版权问题，请与我联系删除。

------------ END ------------

后台回复『Linux』阅读更多相关文章。

欢迎关注我的公众号，回复“加群”按规则加入技术交流群，回复“1024”查看更多内容。

欢迎关注我的视频号：

点击“阅读原文”查看更多分享，欢迎点分享、收藏、点赞、在看。