关键词：
曾经在生产上遇到过一个df 和 du出现的结果不一致的问题，为了排查到底是哪个进程占用了文件句柄，导致空间未释放，首先在linux上面，一切皆文件，这个问题可以使用lsof这个BT的命令来处理（这个哈还可以来查询文件句柄泄露问题，应用程序的进程未关闭文件句柄）
1.文件句柄以及空间释放问题
- 注：在生产环境常见的问题就是，有维护人员或者开发同事使用tail命令实时查看日志。然后另外的人使用rm命令删除，这有就好导致磁盘空间不会真正的释放，因为你要删除的文件，还有进程在使用，文件句柄没有释放，即tail
模拟场景1：
你创建一个文件testfile
touch testfile
然后使用tail命令一直查看
tail testfile
这个时候另外一个同事使用rm命令来删除了该文件
rm testfile
正式使用lsof命令排查
如果你知道文件名，那就可以直接使用如下命令
lsof |grep testfile
但是如果你不知道是哪个文件，或者是很多文件都有这样的情况，那你需要使用如下命令
lsof |grep deleted 注：这个deleted表示该已经删除了的文件，但是文件句柄未释放,这个命令会把所有的未释放文件句柄的进程列出来
注：有些系统你没有配置环境变量的话，直接lsof是会报错没有该命令，你可以直接/usr/bin/lsof 或者是/usr/sbin/lsof，根据你的系统环境自己查看
然后上面命令出来的结果会出来如下结果
root 123 12244 0 14:47 pts/1 01:02:03 tail testfile
然后你可以使用kill 命令来释放文件句柄从而释放空间
kill 123
2. 文件恢复问题
在说明问题之前，先介绍下一些文件的基本概念：
- 文件实际上是一个指向inode的链接, inode链接包含了文件的所有属性, 比如权限和所有者, 数据块地址(文件存储在磁盘的这些数据块中). 当你删除(rm)一个文件, 实际删除了指向inode的链接, 并没有删除inode的内容. 进程可能还在使用. 只有当inode的所有链接完全移去, 然后这些数据块将可以写入新的数据.
- proc文件系统可以协助我们恢复数据. 每一个系统上的进程在/proc都有一个目录和自己的名字， 里面包含了一个fd(文件描述符)子目录(进程需要打开文件的所有链接). 如果从文件系统中删除一个文件, 此处还有一个inode的引用:
/proc/进程号/fd/文件描述符
- 你需要知道打开文件的进程号(pid)和文件描述符(fd). 这些都可以通过lsof工具方便获得, lsof的意思是”list open files, 列出(进程)打开的文件”. 然后你将可以从/proc拷贝出需要恢复的数据.
1.创建一个测试文件并且备份下，方面后续验证
touch testfile
cp testfile testfile.backup.2014
2.查看文件的相关信息
stat testfile
File: ‘testfile‘
Size: 343545 Blocks: 241 IO Block: 4096 regular file
Device: fd00h/64768d Inode: 361579 Links: 1
Access: (0664/-rw-rw-r–) Uid: ( 505/ zhaoke) Gid: ( 505/ zhaoke)
Access: 2014-11-09 15:00:38.000000000 +0800
Modify: 2014-11-09 15:00:34.000000000 +0800
Change: 2014-04-09 15:00:34.000000000 +0800
没问题, 继续下面工作:
3.删除文件
rm testfile
4.查看文件
ls -l testfile
ls: testfile: No such file or directory
stat testfile
stat: cannot stat ‘testfile‘: No such file or directory
testfile文件删除了，但不要终止仍在使用文件的进程， 因为一旦终止, 文件将很难恢复.
现在我们开始找回数据之旅，先使用lsof命令查看下
lsof | grep testfile
tail 5317 root 4r REG 253,0 343545 361579 /root/testfile (deleted)
-
第一个纵行是进程的名称(命令名), 第二纵行是进程号(PID), 第四纵行是文件描述符
-
现在你知道5317进程仍有打开文件, 文件描述符是4. 那我们开始从/proc里面拷贝出数据.
-
你可能会考虑使用cp -a, 但实际上没有作用, 你将拷贝的是一个指向被删除文件的符号链接:
ls -l /proc/5317/fd/4
lr-x—— 1 root root 64 09 15:00 /proc/5317/fd/4 -> /root/testfile (deleted)
使用cp -a命令测试恢复
cp -a /proc/5317/fd/4 testfile.backup
使用ls命令来查看
ls -l testfile.backup
lrwxrwxrwx 1 root root 29 09 15:02 testfile.backup -> /roor/testfile (deleted)
通过上面的命令我们发现，使用cp -a命令，其恢复的是一个指向被删除文件的符号链接
使用file命令分别查看文件和文件描述符
- 1.查看文件
file testfile.backup
testfile.backup: broken symbolic link to ‘/root/testfile (deleted)‘
- 2.查看文件描述符
file /proc/5317/fd/4
/proc/5317/fd/4: broken symbolic link to ‘/root/myfile (deleted)‘
根据上面的file结果，可以使用cp拷贝出文件描述符数据到一个文件中，如下:
cp /proc/5317/fd/4 testfile.new
使用上面的命令恢复后，我们需要最终确认一下文件是否恢复，以及文件内容是否正确:
ls -l testfile.new
然后把新旧的两个文件对比
diff testfile.new myfile.backup转自：
http://blog.csdn.net/dutsoft/article/details/51248761
lsof恢复进程打开的文件(代码片段)
工作原理：进程每打开文件都会生成一个文件句柄FD来标识一个文件，进程打开的文件如果没有被释放，可以通过文件句柄FD来恢复删除的文件注意：适合恢复进程一直在打开一个文件，例如日志文件，如果配置文件进程启动的... 查看详情
磁盘空间占满inode结点没用完并删除了文件但是释放不了
lsof |grepdeletelsof(listsystemopenfile)可显示系统打开的文件，以root身份运行。很多时候文件正在被占用，即使删除了，也无法释放空间，只有停了进程才能释放空间！！l[[email protected]]#lsof|grepdeletezabbix_ag1154zabbix1wREG202,11732... 查看详情
rm-rf删除文件后磁盘空间不释放
当一个服务器的磁盘空间满了后，执行rm-rf命令以后，磁盘空间没有被释放可以使用lsof|grepdelete命令来查看删除进程，然后kill掉相关的进程以后就可以释放空间了 查看详情
rm没有释放磁盘空间(代码片段)
我有一个2.5gb的日志文件rm-但它似乎没有释放任何空间。我做了：rm/opt/tomcat/logs/catalina.out这个：df-hT和df报告我的/opt坐骑仍然使用100％。有什么建议？答案重新启动tomcat，如果文件正在使用中并且您将其删除，则该进程完成后该... 查看详情
linux删除文件磁盘空间未释放(代码片段)
查看已打开文件(删除状态)lsof|grepdeleted#CmsGoAgen574root2uREG253,102230580/usr/local/cloudmonitor/logs/panic.daemon.log(deleted)#第一列程序名第二列PID查到之后重启或杀掉进程kill-9574查看空间是否已释放df-h 查看详情
docker挂载文件删除容器内文件句柄不释放
...志的时候系统还有进程正在使用该文件，所以并没有释放空间。这时通过lsof-n|grepdeleted命令可以查看到有nginx进程使用的文件大小与占用的大小相符，这时通过kill-9命令强制退出相关进程（需要找到父进程）即可释放空间。 查看详情
rm删除文件空间不释放
一问题描述我删除了两个大文件，但是发现磁盘空间并没有释放二解决办法#找到正在用被删文件的进程lsof|grepdeleted#然后kill掉相应的进程示例：kill-9217025kill-9217184 --本篇文章转自：Linuxrm掉文件空间不释放原因_娜一... 查看详情
rm删除文件空间不释放
一问题描述我删除了两个大文件，但是发现磁盘空间并没有释放二解决办法#找到正在用被删文件的进程lsof|grepdeleted#然后kill掉相应的进程示例：kill-9217025kill-9217184 --本篇文章转自：Linuxrm掉文件空间不释放原因_娜一... 查看详情
如何解决linux文件已经删除但是空间未释放的问题(代码片段)
...;但是如果占用文件的进程还在，那么文件实际还会在磁盘中驻留1、lsof命令：lsof(listopenfiles)是一个列出当前系统打开文件的工具。lsof|g 查看详情
lsof命令用法：查看已删除空间却没有释放的进程
查看已经删除的文件，空间有没有释放，没有的话kill掉pidlsof-n|grepdeletedlsof简介lsof(listopenfiles)是一个列出当前系统打开文件的工具。问题描述：服务报警根分区使用率超过95%，上来查看发现96%使用率；650)this.width=650;"src="https://s3.... 查看详情
linux服务器文件删除空间未释放的问题
...有一个进程正在使用），那么进程将仍然可以读取该文件磁盘空间也一直被占用这样就会导致我们明明删除了文件，但是磁盘空间却未被释放二、问题分析1、首先获得一个已经被删除但是仍然被应用程序占用的文件列表[email ... 查看详情
一个监控未释放已删除文件空间的脚本
...一般实际文件小于占比70%以下大多为已删除文件单未释放磁盘空间）。2、需要统计已删除文件但未释放空间的大小（可参考lsof命令）。3、根据1和2最终分析结果拿出占比较大的服务列表（针对服务列表建议支持白名单），针对... 查看详情
linux删除文件后空间无法释放？lsof没有结果。重启无效。请问各位高手还有别的办法吗？
确定是删除掉了么用df-h看看是多少然后再用du-sh*一步一步的追溯下去，看看到底是哪个文件占用了你的空间参考技术A我也遇到了这个问题，重启也不释放，逐个目录du也没有大目录，楼主解决了吗？ 查看详情
vmware虚拟机删除文件，空间不释放
...与操作系统的行为有关，操作系统删除文件并不是真的在磁盘上擦除，而是对这段数据进行标记。而虚拟机的磁盘是一个“虚拟磁盘文件”，当在虚拟机内部删除文件后，“虚拟磁盘文件”中的这部分数据还在，所以它的大小并... 查看详情
讲清楚，说明白！干货--使用lsof恢复进程打开的文件
目录：（一）lsof恢复文件（二）lsof的其他用法（一）lsof恢复文件(1.1)如果在系统中有某个进程打开了一个文件，但是这个文件被我们误删除，此时我们希望将误删除的文件恢复。如果某个被误删除的文件所对应的进程没有关，... 查看详情
磁盘分区异常占用满了(代码片段)
Linux下的根分区使用率100%，但是查看/分区下的目录都不大，没有占用满，这该怎么处理？ 切到根目录，运行du-h --max-depth=1发现文件实际大小加起来才不到30%，这时就有可能是有文件被删除，而进程还活着，因而造成还占... 查看详情
文件删除了空间却不释放，为啥
...除了，但仍然保存在回收站里。需要清空回收站才能释放空间。如下图所示：选中桌面回收站，右击，再选择“清空回收站”。参考技术A日常维护中偶尔会碰到一些日志没有做拆分，越来越大，把存储占满的情况。在清理日志... 查看详情
linux删除文件之后磁盘空间没有被释放
...因是因为已经删除的文件仍然被某个进程占用，所以导致磁盘空间得不到释放，必须要kill进程之后，空间才会被释放注意：删除正在写的文件一般用cat/dev/null>file，而不是直接rm（直接rm会造成文件删除空间不释放的问题）如... 查看详情