【每天一个linux冷知识-2】文件删除的秘密——为什么文件不见了,磁盘空间却没释放?

遇到过这种情况吗？

删了一个巨大的日志文件，用 df -h 一看，磁盘可用空间竟然一点都没变。你确认文件已经不在目录里了，但空间就是没回来。重新登录、重启服务，依然如此。

这不是Bug，而是Linux文件系统一个精妙的设计。

文件的真面目：名字和数据是分开的

在Linux中，一个文件由两部分组成：

• **数据（data）**：文件的实际内容，存储在磁盘的数据块中。
• 元数据（metadata）：包括文件大小、权限、时间戳，以及最重要的一环——指向数据块的指针
  。

而文件名呢？它存储在目录中。目录本质上是一个映射表，记录着“文件名”到“文件元数据”的对应关系。这个对应关系，被称为硬链接。

你可以这样理解：每个文件都有一个唯一的身份证号，叫做 inode。文件名只是一个标签，贴在某个inode上。同一个inode可以有多个不同的标签（多个文件名），这就是硬链接的原理。

删除到底删了什么？

当你执行 rm file.txt 时，系统做的事情是：

1. 从目录中移除 file.txt 这个标签。
2. 将对应的inode中的硬链接计数减1。

仅此而已。文件的数据块和inode本身都还完好无损。

只有当硬链接计数从1变成0时，系统才会进一步标记这个inode和它指向的数据块为“空闲”。注意，是标记为空闲，而不是立即擦除数据。

被“占用”的文件

现在回到最初的问题：文件已经从目录中删除了，为什么空间没释放？

答案：还有一个进程在打开这个文件。

当一个进程打开一个文件（比如用 fopen 或 open 系统调用），内核会为这个进程创建一个文件描述符。这个文件描述符指向一个“打开文件描述”，而后者又指向inode。只要进程不关闭文件描述符（或者进程不退出），inode的引用计数就不会归零。

在这种情况下，即使你把目录中的文件名删掉了，inode和数据块依然被标记为“正在使用”。系统不会回收它们。你从目录里看不见这个文件了，但它确实还在磁盘上，被某个进程紧紧抱着不放。

重启相关服务，或者直接重启系统，进程退出后引用计数归零，磁盘空间才会真正释放。

一个实用技巧：不用删除就能清空文件

如果你想清空一个大文件的内容，但又不想删除文件本身（因为其他进程可能正在使用它），可以用：

• > bigfile.log
• echo "" > bigfile.log
• truncate -s 0 bigfile.log

这些操作会直接截断文件，而不改变inode和文件名。正在写入该文件的进程不会受到影响，但文件内容会被清空，磁盘空间立即释放。

更深一层：恢复已删除的文件

既然删除只是移除了标签，数据块还在，那是不是可以恢复文件？

理论上是可能的，前提是数据块还没有被覆盖。常用的恢复工具有 debugfs、extundelete 等。它们会扫描文件系统的日志或直接分析数据块，尝试重建inode和文件内容。

但是，成功率无法保证。一旦有新数据写入，很可能就会覆盖原本属于那个文件的磁盘块。所以，如果你误删了重要文件，第一件事是立刻卸载该分区（或者至少不要再写入任何新数据），然后尝试恢复。

冷门知识点：immutable 位和 append-only 位

Linux的 chattr 命令可以给文件设置一些特殊属性。其中两个很值得了解：

• chattr +i file
  ：设置 immutable 位。此后任何用户（包括root）都无法修改、删除、重命名或创建硬链接。除非用 chattr -i 解除。
• chattr +a file
  ：设置 append-only 位。文件只能以追加模式写入，不能覆盖或删除已有内容。日志文件非常适合这个设置。

你可以试试：用root给 /etc/resolv.conf 加上 +i 属性，然后尝试编辑它——会提示权限不足，即使你是root。这比单纯修改文件权限要强力得多。