df用于查看文件系统级磁盘空间（如df -h），du用于统计目录实际占用（如du -sh），差异常因已删但未释放的文件导致，可通过lsof定位并kill进程释放空间。
如果您需要了解Linux系统中磁盘空间的使用情况，但不确定该使用df还是du命令，则可能是由于两者作用范围和统计维度不同导致混淆。以下是区分与应用df和du命令的具体步骤：
一、理解df命令的作用与执行方式
df（disk filesystem）命令用于显示文件系统级别的磁盘空间使用状况，它读取的是文件系统超级块中的元数据，反映的是挂载点整体的已用、可用及总容量，不深入遍历目录内容。
1、在终端中输入 df -h，以人类可读格式（如GB、MB）显示所有已挂载文件系统的磁盘使用概况。
2、执行 df -h /，仅查看根文件系统的信息。
3、运行 df -i，检查inode使用情况，避免因inode耗尽导致无法创建新文件。
二、理解du命令的作用与执行方式
du（disk usage）命令用于统计指定目录或文件所占用的磁盘空间，它通过实际遍历目录树并累加各文件块大小得出结果，反映的是用户可见路径下的真实数据占用。
1、在终端中输入 du -sh /var/log，以简洁格式显示/var/log目录的总占用空间。
2、执行 du -sh /home/* | sort -hr | head -n 5，列出/home下占用空间最大的前5个子目录。
3、运行 du -a /tmp | sort -n | tail -n 10，查找/tmp中体积最大的10个文件（含子目录内文件）。
三、对比df与du输出差异的常见原因
当df显示已用空间远大于du统计结果时，通常是因为存在已被删除但仍被进程占用的文件（即文件句柄未释放），这类空间不会被du计入，但df仍将其算入已用空间。
1、执行 lsof +L1，列出所有链接数为0但仍有进程打开的文件。
2、运行 lsof -nP | grep 'deleted'，筛选出标记为deleted的打开文件及其对应进程PID。
3、确认无业务影响后，使用 kill -HUP PID 或重启相关进程，使内核回收该部分磁盘空间。
四、结合使用df与du定位异常占用
通过交叉验证df与du的结果，可快速识别挂载点内是否存在隐藏大文件、日志膨胀或误存数据等问题，尤其适用于排查“磁盘满但找不到大文件”的场景。
1、先用 df -h 确定哪个挂载点使用率异常偏高。
2、再对对应挂载点顶层目录（如 /var）执行 du -sh */ 2>/dev/null | sort -hr，逐级缩小可疑范围。
3、进入高占用子目录后，重复执行 du -sh * 2>/dev/null | sort -hr | head -n 10，直至定位具体文件或日志轮转异常项。
五、使用ncdu工具实现交互式磁盘分析
ncdu是一个基于ncurses的磁盘使用分析工具，提供可视化界面与键盘操作支持，弥补了du原始输出不易导航的缺陷，适合深度排查目录层级空间分布。
1、安装ncdu：在Debian/Ubuntu系统中执行 sudo apt install ncdu；在RHEL/CentOS中执行 sudo yum install ncdu 或 sudo dnf install ncdu。
2、扫描指定路径：运行 ncdu /var，等待扫描完成并进入交互界面。
3、在界面中使用方向键浏览目录，按 d 删除选中项，按 t 切换排序依据（名称/大小/修改时间），按 ? 查看帮助。
