VPS 磁盘昨天还有十几 GB，今天突然只剩几百 MB，这种情况很容易让人以为服务器被入侵了。实际上，日志、缓存、备份和 Docker 文件都可能在短时间内吃掉空间。
磁盘满了不只是无法上传文件，数据库写入、系统更新和网站登录都可能跟着异常。处理时最忌讳看到大文件就直接删除。
今天这篇文章就按实际排查顺序，聊聊磁盘空间突然减少的常见原因，以及怎样安全清理和预防。
一、先确认哪个分区满了
使用 df -h 查看各挂载点的总量和使用率，先确认满的是系统盘、数据盘还是 inode。文件数量特别多时，即使容量没用完，也可能因为 inode 耗尽而无法创建新文件，可以再用 df -i 检查。
不要只看服务商控制台的磁盘容量。控制台显示的是磁盘规格，系统内的分区、文件系统和挂载状态才决定当前可用空间。
二、找到增长最快的目录
确认分区后，可以用 du 从根目录逐层查找大目录。常见位置包括 /var/log、网站上传目录、数据库目录、/tmp 和用户主目录。
排查时尽量限制在同一文件系统，避免扫描挂载的备份盘或网络盘。生产服务器上执行大范围统计也会产生 IO，最好避开业务高峰。
我通常先关注这些来源：
- Web、数据库和系统日志是否轮转失败。
- 网站缓存、临时文件和上传内容是否快速增长。
- 自动备份是否一直保存在本机，没有清理旧版本。
- Docker 镜像、容器日志和构建缓存是否堆积。
三、日志是最常见的原因之一
程序异常循环报错时，一个日志文件可能在几小时内增长数 GB。直接清空日志只能暂时腾出空间，真正要处理的是报错源和日志轮转配置。
检查 systemd journal 的占用量，并确认 logrotate 是否正常运行。限制日志大小之前先保留故障时间段的内容，否则空间清出来了，问题原因也一起被删掉。
四、Docker容易留下看不见的占用
频繁部署应用会积累旧镜像、停止的容器、匿名卷和构建缓存。容器标准输出没有限制时，JSON 日志也可能持续变大。
可以先使用 Docker 自带的统计命令查看占用，再决定清理对象。不要不加判断地删除卷，数据库数据经常就保存在卷里。清理镜像前也要确认回滚版本是否还需要。
五、删除文件后空间为什么没回来
Linux 中，文件被删除后，如果仍有进程保持打开，磁盘空间不会立即释放。此时目录里看不到文件，但 df 的使用率仍然很高。
可以检查已删除但仍被占用的文件，确认对应进程后通过正常重启服务释放句柄。不要为了释放一个日志文件直接重启整台机器，先判断业务影响。
六、怎样安全清理和预防
优先清理可重新生成的缓存、确认无用的旧日志和过期备份。数据库、网站上传文件和 Docker 卷必须先确认用途，并准备可恢复备份。
长期运行的网站可以选择快照和磁盘扩容路径清楚的平台，例如 萤光云 和 LightNode。但扩容只能缓解容量压力，日志失控不处理，再大的盘也会再次写满。
建议为磁盘使用率设置分级告警，在 70% 或 80% 时就开始处理，同时把备份传到独立存储，不要让生产数据和所有备份挤在同一块系统盘。
七、最后的排查顺序
先用 df 判断分区和 inode，再用 du 找目录，随后检查日志、备份、缓存、数据库和 Docker。目录统计与分区使用量对不上时，再考虑已删除但未释放的文件。
先定位增长来源，再执行删除。这条顺序看起来慢一点，却能避免误删数据库和业务文件，也是磁盘故障处理中最值得坚持的习惯。
常见问题
问：磁盘使用率100%会导致网站打不开吗？
答：会，数据库和应用无法写入时可能报错或停止服务。
问：可以直接删除/var/log里的文件吗？
答：不建议盲删，应先确认日志来源、保留故障信息并修复轮转。
问：Docker清理会删除数据库吗？
答：错误删除数据卷可能丢失数据库，清理前必须确认挂载关系。
问：扩容后系统空间为什么没增加？
答：可能还需要扩展分区和文件系统。
问：备份应该放在同一台VPS吗？
答：本机可保留临时副本，但至少还要有一份异地备份。
温馨提示
磁盘告警出现后，不要靠反复扩容掩盖问题。先找出增长来源，再建立日志轮转、备份保留周期和容量监控。执行任何删除命令前，都要确认路径、数据用途和恢复方式。
