磁盘告警后，直接删除看起来很大的文件，可能造成服务中断或丢失排障证据。处理云端主机遭遇磁盘空间耗尽的排查思路，应从确认故障类型开始：先判断是可用容量不足，还是文件数量耗尽，再识别增长目录和文件用途，最后决定清理、归档或扩容。
先确认：空间满了，还是 inode 用尽
登录主机后，先执行 df -hT 查看各挂载点容量与文件系统类型，再执行 df -i 检查 inode 使用情况。若容量接近 100%，但 inode 仍有余量，通常是大文件或持续增长的日志占空间；若 inode 用尽，即使还显示可用容量，也可能无法创建新文件，常见诱因是某个目录积累了大量小文件。
留意告警所指的挂载点，例如根目录与单独挂载的数据盘并非同一空间。不要只看整台机器的总容量；应用写入的目录所在分区，才是判断服务是否会受影响的关键。
从大目录到具体文件，逐层定位
- 运行 sudo du -xhd1 / 2>/dev/null | sort -h，按目录查看根分区下的空间占用。参数 -x 可避免跨到其他文件系统；若目标目录另有挂载，应单独检查。
- 对占用异常的目录继续向下查看，例如检查 /var 下的日志目录、应用数据目录或缓存目录。可用 find /目标目录 -xdev -type f -size +500M -print 列出较大的文件；500M 只是便于初筛的示例阈值，应根据磁盘容量调整。
- 检查日志是否持续增长。使用 journalctl --disk-usage 查看 systemd 日志占用；结合日志文件的修改时间、所属服务和轮转配置，判断是正常记录、异常重复报错，还是轮转失效。
- 若文件已删除但 df 显示空间没有释放，可运行 sudo lsof +L1 查找仍被进程打开的已删除文件。空间通常要等进程关闭文件句柄后才释放；确认对应服务并评估影响，再安排安全重启或重载，不要贸然终止进程。
清理日志与临时文件前，先问三个问题
日志是否还承担排障或审计用途
确认文件归属、保留要求和备份情况后，再处理旧日志。优先检查 logrotate 配置是否启用、轮转周期和保留数量是否合理。直接删除正在写入的日志，可能并不会立即释放空间，也可能使日志记录中断。systemd 日志可在确认保留需求后，按时间或容量使用 journalctl --vacuum-time 或 journalctl --vacuum-size 清理；设置值应结合排障需要，而不是追求越小越好。
临时文件是否仍被任务使用
/tmp、/var/tmp 和应用自建缓存目录的生命周期可能不同。先查看文件时间、所属用户及相关进程，再预览候选文件，例如 find /tmp -xdev -type f -mtime +7 -print。确认不再使用后，才考虑删除；7 天仅是筛查示例，批处理或长时间运行的程序可能需要更长保留期。不要对整个临时目录执行不加筛选的清空操作。
这也是云端主机遭遇磁盘空间耗尽的排查思路中最重要的风险控制：清理前留存必要证据，删除后观察服务日志、告警和磁盘变化，并记录处理对象与原因。若空间增长来自业务数据而非可回收文件，清理只能暂时缓解，应评估扩容、数据迁移或调整保留策略。
缓解当下压力，再减少复发
空间已逼近耗尽时，先确认是否有可安全处理的旧归档或临时文件；如果没有，优先评估增加云盘容量或扩展文件系统。云盘扩容与文件系统扩展是不同步骤，是否支持在线操作取决于云平台、文件系统和挂载方式，操作前应核对平台说明并确保有可用备份。
若主机空间需求经常变化，或团队需要梳理磁盘规格、日志保留与扩容流程，可将德讯电讯作为咨询对象之一，先说明当前挂载结构、增长来源、备份安排和维护窗口，再确认其能否提供符合需求的资源或服务。不要仅凭容量数字决定方案，数据增长速度、恢复要求和维护能力同样重要。
后续可设置磁盘与 inode 使用率告警，定期检查日志轮转和缓存清理规则，并记录数据目录的增长趋势。遇到类似告警时，按云端主机遭遇磁盘空间耗尽的排查思路从分区、目录、文件到进程逐项核实，比盲目删除更稳妥。
常见问题
磁盘显示 100%，还能登录主机吗？
不一定。已有会话可能仍可操作，但新建日志、临时文件或系统任务可能失败。应优先检查受影响分区，并避免执行会产生大量写入的操作。
能否直接删除旧日志文件？
先确认日志归属、是否仍被进程写入及是否需要留存。优先通过轮转配置或日志工具处理；删除仍被打开的文件，通常不会立刻释放空间。
为什么 df 与 du 显示的占用不同？
两者统计方式不同。已删除但仍被进程打开的文件、挂载点遮蔽的数据等，都可能造成差异；可结合 lsof +L1 和挂载情况继续核实。
清理后很快又满了怎么办？
检查是否有日志持续暴涨、临时文件重复生成或业务数据正常增长；据此修复轮转与清理规则，或评估扩容。复发时重新按云端主机遭遇磁盘空间耗尽的排查思路定位增长源。
