Linux查看文件大小：ls和du为何结果不同？一文讲透原理！

在Linux运维中，查看文件大小是日常高频操作。但你是否遇到过以下困惑？

用ls看到文件是1GB，用du却显示只有20MB？为什么会有这种差异？本文从底层原理到实战场景，带你彻底理解两者的区别！

一、核心差异：逻辑大小 vs 物理占用

1. ls显示逻辑大小
ls -l展示的是文件内容的实际字节数，即文件创建时写入的数据总量。例如：

$ ls -lh large_file.txt
-rw-r--r-- 1 user 1.2G Apr 8 10:00 large_file.txt

这里的1.2G表示文件内容总大小，无论是否包含空洞或零数据。

2. du显示物理占用
du -h统计的是文件在磁盘上实际占用的空间，受文件系统块大小影响。例如：

$ du -h large_file.txt
20M    large_file.txt

即使文件只有1字节，也会占用至少1个块（默认4KB）的空间。

二、三大关键原因解析

1. 文件系统块机制
o 块大小决定最小单位：Linux文件系统以块（通常4KB）为单位分配空间。
o 计算公式：磁盘占用 = ceil(文件大小 / 块大小) × 块大小
例如：13KB文件占用4个块 → 16KB空间。

2. 稀疏文件（Sparse File）
稀疏文件通过"空洞"技术节省空间，表现为：
o ls显示逻辑总大小
o du仅统计实际写入的数据块

# 创建1GB稀疏文件（实际占用200MB）
dd if=/dev/zero of=sparse.img bs=1M seek=1024 count=0
ls -lh sparse.img  # 显示1.0G
du -h sparse.img   # 显示200M

3. 目录统计规则
o ls仅显示目录元数据大小（通常4KB）
o du递归统计目录内所有文件大小

$ mkdir test_dir
$ touch test_dir/file{1..100}  # 创建100个空文件
$ ls -ld test_dir            # 显示4.0K
$ du -sh test_dir            # 显示约400K（100个文件×4KB块）

三、实战场景分析

场景1：日志文件异常增长

# 发现日志文件显示10GB，但磁盘空间只占用2GB
ls -lh app.log      # 10G
du -h app.log       # 2G

# 原因：日志文件被清空但进程未释放（需重启服务）
lsof | grep deleted  # 查看被删除但仍被占用的文件

场景2：备份文件体积差异

# 原始文件10GB，压缩后生成backup.tar.gz
ls -lh backup.tar.gz  # 显示9.8G
du -h backup.tar.gz   # 显示2.1G（压缩+块分配）

四、进阶技巧

1. 查看真实磁盘占用

# 统计目录总大小（含子目录）
du -sh /var/log

# 按大小排序（快速定位大文件）
du -ah / | sort -rh | head -n 20

2. 处理稀疏文件

# 复制时保留稀疏特性
cp --sparse=always large.img backup.img

3. 权限问题排查

# 无权限文件导致统计异常
sudo du -sh /protected_dir

五、总结对比表

运维小贴士：
o 日常监控用du了解真实存储消耗
o 文件传输时用ls确认内容完整性
o 疑似空间泄漏时结合lsof排查

下次遇到文件大小差异，你一定能快速定位原因！如果觉得有用，欢迎转发给更多运维小伙伴~