核心要点
- Linux系统日志可能会占用相当多的硬盘空间。
- 为了节约存储空间，系统通常会自动压缩较旧的日志文件。
- 通过使用 journalctl 或 tail -f 命令，你可以查看日志并定位引发问题的进程。
尽管Linux系统以其简洁性而闻名，但有时你可能会发现硬盘空间骤减。这是为什么呢？一个主要线索，甚至可能是罪魁祸首，往往潜藏在Linux系统日志之中。
为何日志会占用如此多的磁盘空间？
日志是Linux系统管理中至关重要的组成部分。它们不仅让你了解机器的运行状态，还能帮助你排除故障。Linux日志守护进程的作用类似于Windows的事件查看器。通常情况下，日志不会占用过多的空间，因为大多数发行版都会自动管理它们在磁盘上的占用量。
过去，Linux日志通常是纯文本文件。然而，随着许多主流发行版转向systemd，日志现在由systemd服务Journald管理，并以二进制文件形式存储。当然，你的发行版也可能仍然使用rsyslog或syslog-ng来处理日志。
考虑到旧日志的价值较低，以及大型存档会耗费空间，系统通常会对它们进行“轮换”（即归档、压缩，最终删除），以此来节约磁盘空间，以便为你保留真正重要的内容。
尽管日志本身看起来不会占用过多空间，但如果某个进程出现故障，它可能会以比系统轮换日志更快的速度填充日志，导致空间快速耗尽。
如果你在检查磁盘空间时发现空间突然不足，且你最近没有下载任何大型文件，那么问题很可能出在Linux系统日志上。此时，你需要深入检查系统日志的内容，并着手解决问题。
你可以使用 du -h 命令来检查 /var/log 目录及其子目录占用的磁盘空间量：
du -h /var/log
这将列出每个子目录及其占用的总空间量。
如何查找你的日志
如果你的Linux发行版采用的是systemd，那么你可以使用 journalctl 程序来查看日志。Journald通常将日志存储在 /var/log/journal 或 /run/log/journal 目录中，具体位置取决于你的发行版。
要在shell提示符下查看日志，只需键入 journalctl 命令。 你还可以使用其他有用的命令行选项。 例如，要查看启动消息，可以使用 -b 选项：
journalctl -b
如果你想实时查看系统的日志消息，可以使用 -f 选项。
如果你的发行版没有使用systemd，你可以在 /var/log 目录中找到日志文件。 即使使用systemd，一些程序仍然会将日志存储在该目录下。 这些是普通的文本文件，你可以使用 less 等实用工具来查看它们。
例如，要读取系统日志，可以使用以下命令：
less /var/log/syslog
你将看到日志文件的完整内容，它可能包含数千行。
你也可以使用 tail 命令的 -f 选项来实时监控日志：
tail -f /var/log/syslog
Linux是如何轮换日志文件的？
在 /var/log 目录下，你可能会看到一些以“.log.N.gz”结尾的文件，其中 N 是数字。这是系统轮换旧日志的结果。大多数发行版都使用一个名为“logrotate”的实用程序来自动执行此操作。logrotate通常设置为作为cron作业或systemd计时器运行。
默认情况下，大多数发行版每天都会运行 logrotate。它会使用 gzip 压缩旧日志，“.gz”的文件扩展名就证明了这一点。logrotate 会根据预设的阈值（如年龄或文件大小）执行此操作，并使用另一个阈值来最终删除旧的日志文件。
对于大多数桌面用户来说，logrotate 的默认设置已经足够了。你可以通过以超级用户身份编辑 /etc/logrotate.conf 文件，以及编辑系统的 cron 或 systemd 计时器文件来调整 logrotate 的行为。但实际上，这些操作主要与服务器管理员相关。
与调整配置文件来节省磁盘空间相比，最好的做法是修复日志中不断填充的内容。如果你确实需要更改配置，可以查阅 logrotate 的手册页。
哪些日志可以安全删除？
如果所有其他方法都无效，且你迫切需要释放磁盘空间，你可以手动删除在 logrotate 运行之前以“.gz”结尾的存档日志文件。你可以使用 rm 命令来删除它们，但你需要以超级用户身份运行此命令，因为这些文件归系统所有：
sudo rm /var/log/syslog.*gz
上述命令会删除所有以“syslog”开头，并以“.gz”结尾的文件。
在通过 sudo 运行命令时，务必格外小心，尤其是像 rm 这样具有破坏性的命令！
通常情况下，不应在没有完全理解其含义的情况下删除系统目录中的文件。但是，删除归档的日志文件不会造成任何问题。尽管如此，如果你之后遇到问题，可能需要参考较旧的日志。
如何修复日志被填满的问题
要找出日志中不断填充内容的原因，最好的方法是使用 journalctl 或 tail -f 选项来实时跟踪日志。仔细观察重复出现的错误消息。
你需要处理引发问题的进程，才能真正解决磁盘空间不足的问题。如果你不确定导致错误的原因，可以在网上搜索或向发行版的支持渠道寻求帮助。当你最终修复问题之后，你可以安全地删除旧日志。此时，你应该拥有更多的磁盘空间了。