重要避坑
不要直接 rm -f app.log 删除进程正在写入的日志文件！
rm 只是删除文件名，进程依旧持有文件句柄继续写，磁盘空间不会释放，需要重启 / 关闭对应进程才释放空间。
出现大量 deleted 文件用 lsof | grep deleted 查看。
日志清理常用命令
1. 清空整个日志文件（保留文件本身，inode 不变，进程可继续写，推荐）
|
1 2 3 4 |
# 方式1 > app.log # 方式2 cat /dev/null > app.log |
适用：日志太大，直接清空全部内容；正在写入的日志文件安全清空。
不要用 rm app.log 再 touch，会造成业务句柄异常。rm 会产生 deleted 幽灵文件，空间不释放。
2. 删除文件头部 N 行（删除前 100 行）
- 文件没有程序写入（静态）
|
1 |
sed -i '1,100d' app.log |
- 文件正在被进程写入（动态日志）
|
1 2 3 |
sed -n '101,$p' app.log > app.log.tmp cp app.log.tmp app.log rm -f app.log.tmp |
注意：复制间隙会丢失极少量日志；高吞吐不建议频繁手动删头部。
3. 保留末尾 N 行，截断日志（只保留最后 2000 行）
把日志只保留最后 2000 行，前面全部丢弃
|
1 2 3 |
tail -n 2000 app.log > app.log.tmp cp app.log.tmp app.log rm -f app.log.tmp |
4. 查找旧日志文件，批量删除
查找 7 天以前的 .log 文件删除（日志归档文件，已经不再被进程打开）
|
1 2 |
# 查找 /var/log 下7天前日志文件删除 find /var/log -type f -name "*.log" -mtime +7 -delete |
参数说明：
- -mtime +7：修改时间大于 7 天
- -type f：只找普通文件
千万不要对正在被进程写入的活跃日志执行 find 删除！会产生 deleted 幽灵文件。
5. 压缩历史日志
日志暂时不能删，先压缩节省磁盘
|
1 2 3 4 5 6 7 8 |
gzip old-app.log # 效果：`old-app.log` → `old-app.log.gz`，原文件被删除 gzip -c old-app.log > old-app.log.gz #压缩保留原文件 gunzip old-app.log.gz #解压，删除gz gunzip -c old-app.log.gz > file #解压保留gz zcat old-app.log.gz #查看gz内容 zgrep "xxx" old-app.log.gz #搜索gz内关键字 tar -zcvf old-app.log.tar.gz dir/ #打包压缩目录 tar -zxvf old-app.log.tar.gz #解压目录包 |
6. 处理已经 rm 但是没释放空间的幽灵文件
|
1 2 |
# 查看已经删除，但进程还打开的文件 lsof | grep deleted |
处理：找到对应业务进程，重启进程，磁盘空间立刻释放。
业务不可重启：进入该文件的 /proc/<pid>/fd/ 目录，找到对应 fd，执行 > fd编号 清空文件
只 rm 文件，不重启进程，磁盘空间不会释放。
