怎样用工具清理日志文件？

本文目录导读：

1. 核心原则（先记住，避免踩坑）
2. Linux 系统（最常见）
3. Docker 容器日志清理（非常常见）
4. Windows 系统
5. 自动化神器：logrotate
6. 总结：你该怎么做？

清理日志文件是系统运维中的常规操作，具体方法取决于你使用的操作系统（Linux/Windows）以及日志来源（系统日志、应用日志、Docker 日志等）。

以下是几种常见场景下的工具和标准操作步骤：

核心原则（先记住，避免踩坑）

1. 安全第一：清理前请备份或确保日志不是排查问题所需。不要直接删除正在被进程写入的日志文件（通常表现为 .log），否则会导致文件句柄丢失（日志空间不会释放，除非重启进程）。
2. 推荐：清空而非删除：最佳实践是 清空文件内容（将文件大小截断为0），而不是 rm 删除文件,这样进程的文件句柄仍然有效。
3. 自动化：生产环境强烈建议使用 logrotate 或脚本来自动化完成。

---

Linux 系统（最常见）

核心工具：truncate （最推荐，用于清空大文件）

这是最安全、最常用的方法，直接让文件内容归零,空间立即释放。

# 清空指定日志文件
sudo truncate -s 0 /var/log/syslog
# 清空某个目录下所有 .log 文件（小心使用）
sudo truncate -s 0 /var/log/nginx/*.log

其他方法（适用于 truncate 不可用时）

• 使用重定向（>）：

  sudo > /var/log/syslog
  # 或者
  sudo cat /dev/null > /var/log/syslog

• 使用 dd 命令：

  sudo dd if=/dev/null of=/var/log/syslog

历史遗留操作（不推荐）

• rm -rf /var/log/*.log：非常不推荐，删除后，正在写入的进程（如 rsyslogd、nginx）不会释放已占用的磁盘空间，只有重启进程才行,除非你明确知道文件句柄已关闭。

查找大日志文件（清理前先定位）

# 查看磁盘占用情况
df -h
# 查找 /var 下大于 100MB 的 .log 文件
sudo find /var -name "*.log" -type f -size +100M -exec ls -lh {} \;
# 或使用 du 查看目录下最大的日志
sudo du -sh /var/log/* | sort -rh | head -10

journalctl（清理 systemd 日志）

如果你的系统使用 systemd，日志存储在二进制文件中,不能用常规方法删除：

# 查看当前 journal 日志占用
journalctl --disk-usage
# 只保留最近 3 天的日志
sudo journalctl --vacuum-time=3d
# 只保留最近 500MB 的日志
sudo journalctl --vacuum-size=500M
# 手动删除所有归档日志（保留当前活跃的）
sudo rm -rf /var/log/journal/*

---

Docker 容器日志清理（非常常见）

Docker 容器如果不限制日志，会无限增长,很容易撑爆磁盘。

查看哪个容器日志最大

sudo ls -lh /var/lib/docker/containers/*/*.log

临时清空（推荐用 truncate）

sudo truncate -s 0 /var/lib/docker/containers/<container_id>/<container_id>-json.log

全局配置限制（推荐设置）

永久解决：在 Docker 配置文件 /etc/docker/daemon.json 中设置日志轮转：

{
  "log-driver": "json-file",
  "log-opts": {
    "max-size": "10m",
    "max-file": "3"
  }
}

修改后重启 Docker：sudo systemctl restart docker

---

Windows 系统

使用磁盘清理工具（GUI 最简单）

• 打开 此电脑 -> 右键 C 盘 -> 属性 -> 磁盘清理。
• 点击 清理系统文件（需要管理员权限）。
• 勾选 Windows 更新清理、传递优化文件、Internet 临时文件、系统错误内存转储文件 等。
• 点击确定。

使用命令行（cleanmgr）

• 运行 cleanmgr /sageset:1 配置要清理的项目。
• 运行 cleanmgr /sagerun:1 执行清理。

使用 PowerShell 清理事件日志

# 以管理员身份运行
# 查看事件日志大小
Get-WinEvent -ListLog * | Where-Object {$_.LogMode -ne "Circular"} | Select-Object LogName, FileSize
# 清理系统日志（清空）
Wevtutil cl System
# 清理应用程序日志
Wevtutil cl Application
# 清理安全日志（如果允许）
Wevtutil cl Security

清理 IIS 日志（Web 服务器）

• IIS 日志默认在 C:\inetpub\logs\LogFiles。
• 可以手动删除旧的 .log 文件，或设置 IIS 日志的目录大小限制。

---

自动化神器：logrotate

这是 Linux 系统标准且最佳的日志管理工具，它会在日志达到指定大小时自动重命名、压缩、删除旧日志。

基本配置示例（/etc/logrotate.d/mylogs）

/var/log/myapp/*.log {
    daily            # 每天轮转
    rotate 7         # 保留最近 7 个归档
    compress         # 压缩归档（.gz）
    delaycompress    # 延迟一天压缩
    missingok        # 日志不存在不报错
    notifempty       # 空日志不轮转
    copytruncate     # 重要：先复制文件内容，然后清空原文件（解决正在写入的问题）
}

手动强制轮转测试：

sudo logrotate -vf /etc/logrotate.conf

你该怎么做？

1. 先找到问题：df -h 看哪个分区满了，du -sh /var/log/* 看哪个日志大。
2. 紧急清理：sudo truncate -s 0 /path/to/large.log
3. 永久解决：
   • Linux 应用：配置 logrotate。
   • Docker：配置 daemon.json 的 max-size。
   • systemd 日志：用 journalctl --vacuum-size。
4. 注意：如果不确定进程是否正在写入日志，绝不要用 rm 直接删除，使用 truncate 或 copytruncate 是最安全的选择。

标签： 日志清理 日志管理