答案是inode耗尽或小文件堆积导致，需先用df -h和df -i区分空间满还是inode满，再用find或ncdu定位高占用目录，最后针对性清理并配置预防措施。

Linux磁盘显示“空间不足”，但df -h和du -sh *结果对不上？大概率是inode耗尽，或小文件堆积导致空间无法释放。别急着删日志，先分清是“没空间”还是“没inode”——这是排查的起点。

第一步：确认到底是空间满，还是inode满

运行两个命令对比：

• df -h：看各挂载点的磁盘使用率（Size/Used/Avail）
• df -i：看各挂载点的inode使用率（IUsed/IFree/IUse%）

常见异常组合：

• df -h显示使用率95%，但df -i显示IUse%接近100% → inode耗尽，典型于海量小文件（如缓存、邮件临时文件、未清理的/tmp）
• df -h显示已满，但du -sh /path总和远小于Used → 可能有已删除但进程仍占用的大文件（lsof可查）

第二步：快速定位高inode占用目录

进入疑似挂载点（如/var），执行：

这条命令统计每个二级子目录下的文件数量（按降序排前10）。例如输出：

  482312 ./log
  120944 ./spool
   87652 ./cache

说明/var/log下有近50万文件，极可能是日志轮转失效或应用未清理所致。

更直观方式（需安装ncdu）：

交互式查看各目录文件数与磁盘占用，支持按文件数排序（按Ctrl+d切换排序方式）。

第三步：释放inode或空间的具体操作

若inode满：

• 清空无用小文件：find /var/log -name "*.log.*" -mtime +30 -delete（删30天前的压缩日志）
• 检查mail spool：ls -l /var/spool/mail/，大量零字节或超龄邮件文件可批量清理
• 临时禁用日志生成：如systemctl stop rsyslog（仅调试用，勿长期停）

若空间满但du不匹配：

• 查被删除但仍被进程占用的文件：lsof +L1 或 lsof | grep deleted
• 常见场景：nginx/apache日志被logrotate重命名后，主进程仍在往旧文件句柄写；重启对应服务即可释放空间
• 强制释放（不推荐）：echo > /proc/PID/fd/FD_NUMBER（仅限明确可丢弃的日志）

第四步：预防再次发生

治标更要治本：

• 为/tmp和/var/log配置tmpfiles.d自动清理规则（如/etc/tmpfiles.d/local.conf中加D /var/log/myapp 0755 root root 30d）
• 监控inode使用率：Zabbix/Prometheus添加node_filesystem_files_free指标告警
• 限制用户创建过多文件：ulimit -n或在/etc/security/limits.conf中设置hard nofile