1. 查找与压缩为什么是 Linux 操作里的两条腿接手一台 Linux 服务器我一般先干两件事查清楚东西都在哪儿再想办法把占地方的挪走或变小。这两件事听起来基础但绝大多数线上事故比如磁盘被日志写满、找不到某个配置文件、备份包传不过去最后都会落到查找和压缩这两个技能上。很多人学 linux 常用命令时会把 find、grep、tar、gzip 分开记每个命令背一堆参数结果到现场不知道用哪个。实际上查找和压缩是一套组合拳先用查找定位文件再用压缩减少体积。比如排查磁盘空间不足时先用du和find找出大文件接着把老日志打包压缩然后再决定是删还是归档。这一套流程走下来磁盘压力立刻缓解。这篇文章不打算按手册给你抄一遍命令大全而是把我实际用下来觉得最靠谱的查找和压缩思路整理出来附带踩过坑的细节。适合谁看刚接触 Linux 的运维和开发、准备 linux 面试题的求职者以及那些已经会用find和tar简单命令但遇到复杂场景和诡异报错时不知道怎么处理的人。看完之后你至少能独立完成一次找文件—看内容—打包压缩—安全解压的完整操作并且知道自己为什么选这条命令而不是另一条。1.1 一次真实故障排查的启发有次一台业务服务器的/分区使用率到了 97%应用开始报“No space left on device”。我第一反应不是上去乱删而是先执行这条命令find / -xdev -type f -size 1G -exec ls -lh {} \;-xdev很重要它让 find 不要跨文件系统否则会把/proc、/sys这些虚拟目录也扫进去轻则慢重则把系统卡死。-size 1G找出超过 1G 的普通文件-exec ls -lh {}把找到的文件列出大小。结果发现罪魁祸首是/var/log/nginx下一个没被 logrotate 处理的 access.log已经 4.7G 了。当时我直接把这个日志打包压缩再清空用的是tar和gzip的组合。整个排查过程不超过五分钟靠的全是查找和压缩的基本功。所以别觉得这两个命令太简单关键时刻它们就是救命的。1.2 两者背后的共同思维做数据治理把查找和压缩放在一起理解其实是一种数据治理思维。查找解决的问题是我要的东西在哪里、长什么样、占多少空间压缩解决的问题是这个东西能不能变小一点、能不能打包带走。前者帮你定位数据后者帮你减小数据的存储和传输成本。实际工作中这两个动作经常交替使用先find找到一批日志再用tar打包压缩先grep看日志内容确认没报错再决定是否把这批文件归档。理解了这个循环你的 linux 操作水平会明显上一个大台阶。2. 查找命令家族怎么选which、whereis、locate、find、grep很多新手一提到查找就只想到find实际上 Linux 下的查找命令有好几个各自解决的问题不同。选错工具要么结果为空要么慢到怀疑人生。2.1 五种查找命令的分工命令查找对象数据来源实时性典型场景which可执行文件PATH 环境变量实时确认某个命令装在哪个目录whereis命令、源码、man 手册系统预设目录实时找命令的配套文件locate文件名updatedb 构建的数据库依赖库更新快速按文件名定位find文件名、类型、大小、时间、权限等实时遍历目录树实时复杂条件搜索、定时清理grep文件内容逐个读取文件内容实时在日志/代码中找关键词这五个命令不是竞争关系而是互补关系。我自己的选择逻辑很简单找命令用which或type找文件路径用locate或find找内容用grep。如果追求速度且不要求最新的文件locate是首选如果条件复杂或者文件是刚新建的必须用find。2.2 命令查找的隐藏坑alias 和 PATH这里必须说一个坑which ls可能不会显示/usr/bin/ls而是显示ls: aliased to ls --colorauto。因为在 bash 里ls可能是一个别名。遇到这种情况用type -a ls能看到完整信息$ type -a ls ls is aliased to ls --colorauto ls is /usr/bin/ls还有一个经典案例明明软件装了却提示 command not found。这多半是 PATH 没包含安装目录比如手动编译安装的软件放在/usr/local/nginx/sbin执行which nginx找不到直接运行也报错。解决办法是改 PATH 或用绝对路径但排查思路要清晰先echo $PATH看当前路径再用find / -name nginx -type f 2/dev/null去全盘找一下。注意2/dev/null把权限报错丢掉否则输出会被 Permission denied 刷屏。2.3 locate 的利与弊locate的搜索速度比find快一个量级因为它查的是预先生成的数据库。但代价是数据库不是实时更新的新创建的文件可能查不到。用之前先sudo updatedb更新一下数据库。在大量文件且规律明显的场景下locate的体验远好于find比如我要找所有叫nginx.conf的文件sudo updatedb locate nginx.conf如果你发现locate命令不存在说明系统没装 mlocate 或 plocate 包Debian/Ubuntu 系执行sudo apt install plocateCentOS/RHEL 系执行sudo yum install mlocate就能装上。3. find 的完整姿势用五维定位法搞定绝大多数搜索find是 Linux 查找功能的核心参数繁杂但拆开看就是五个维度名字、类型、时间、大小、权限。掌握了这五个维度的组合你基本可以应对生产中 90% 的查找需求。3.1 按名字和类型定位文件最常用的就是-name和-type。-name支持通配符但要注意通配符要加引号防止被 shell 提前展开find /opt/app -name *.log find /etc -type f -name *.conf find /var -type d -name cache-type的常见取值包括f普通文件、d目录、l符号链接、ssocket 文件。找 socket 文件在排查服务连接问题时非常有用比如find / -type s 2/dev/null如果想忽略文件名大小写用-iname。比如找所有以 test 开头的文件不管是大写 Test 还是小写 test 都能命中find /tmp -iname test*3.2 按时间、大小、权限过滤时间维度是运维排查的利器。找最近三天内被修改过的日志文件find /var/log -type f -mtime -3这里的-mtime -3表示 3 天内修改过30表示 30 天前3表示刚好第 3 天。类似的还有-atime访问时间和-ctime状态变更时间。如果你的系统里文件非常多用-mmin -60可以精确到分钟适合排查刚刚发生了什么变化。大小维度也很常用。找大于 500M 的文件find / -type f -size 500M -exec ls -lh {} \; 2/dev/null权限维度用于安全排查比如找出所有其他用户可写的文件find /home -type f -perm -002这里-002表示其他用户可写-perm -表示这些权限位都必须设置。这个命令在做安全基线检查时经常用到。3.3 控制遍历范围-maxdepth 与 -prunefind 默认会递归遍历整个目录树目录层级很深时效率极低。加-maxdepth限制深度是最直接的优化方式find / -maxdepth 3 -type f -name *.conf另一个高级技巧是-prune它能把命中的目录直接从搜索范围里剪掉。比如我想在/var下找日志文件但要跳过/var/lib/docker避免扫到容器层那成千上万个文件find /var -path /var/lib/docker -prune -o -type f -name *.log -print这条命令的优先级顺序是先判断路径是不是/var/lib/docker如果是就剪掉如果不是再判断是不是名为.log的普通文件。-o表示 or 逻辑-print负责输出。理解-prune之后find 在大目录的搜索速度能提升一个档次。3.4 find 为什么不是二分查找有同学问我find 能不能像二分查找那样时间复杂度是 log n这个理解有偏差。二分查找的前提是数据有序且可以随机访问但文件系统目录结构是一棵多叉树find 搜索时的真实路径是从根目录开始递归遍历复杂度通常接近 O(n)。你没法对目录树做二分因为目录的条目并不是按文件内容排序的。所以想提升搜索效率靠的不是算法层面的二分而是减少遍历范围用-maxdepth控制深度用-prune剪掉无关目录或者提前用locate这种建索引的方式。这个概念偏差在 linux 面试题里偶尔会出现能把为什么 find 不是二分查找讲清楚说明你对文件系统结构是有理解的。4. 内容查找与管道组合grep find 的高效协作find按文件名和属性找但很多时候你需要根据文件内容来判断这就需要grep出场。两者一组合很多事情就变得简单了。4.1 grep 的常用参数grep的基础用法是grep 关键词 文件但实际工作中我会常用这几个参数-r递归搜索目录-n显示行号-i忽略大小写-v反向匹配--include指定搜索的文件类型-l只显示包含匹配内容的文件名比如想在整个项目里找出所有调用某个接口的代码忽略大小写并显示行号grep -rin getUserInfo /opt/project/src想在日志目录里只搜.log文件中的 ERROR避免把.txt也扫进去grep -rn --include*.log ERROR /var/log/nginx4.2 find grep 的经典组合虽然 grep 支持递归但在目录特别大的时候先让 find 做一轮筛选再交给 grep效率会更高而且可以叠加更多条件。比如找出/data下最近两天改过的 Java 文件里含有 “TODO” 的find /data -type f -name *.java -mtime -2 | xargs grep -n TODO这里用管道把 find 的结果传给 xargs再交给 grep 处理。xargs 的作用是把前一个命令的输出转成后一个命令的参数。简单场景下直接grep -r就行但组合方式可扩展性更强。4.3 xargs 处理空格和特殊字符的坑xargs 有一个著名陷阱文件名里如果有空格默认会被切分成多个参数。比如find . -name *.txt | xargs rm遇到my file.txt就会出问题。解决办法是使用-print0和xargs -0用\0作为分隔符find . -type f -name *.log -print0 | xargs -0 rm -f这个写法在文件名带空格、中文、特殊符号时是安全的。我再强调一遍凡是find要传递给后续命令处理的优先用-print0 | xargs -0这种组合别省这几下键盘敲击。5. 压缩到底在压缩什么tar、gzip、bzip2、xz、zstd 的本质区别聊压缩之前先纠正一个高频误区tar本身不压缩它只做打包把一堆文件合并成一个文件真正压缩的是 gzip、bzip2、xz、zstd 这些算法。tar 只是一个容器可以挂不同压缩算法。5.1 tar 为什么只是打包工tar 全称是 Tape Archive从磁带备份时代流传下来的。它把多个文件连同目录结构、权限、属主信息串成一个流。这也是为什么传输和备份时都用 tar 而不是直接用 gzip 去压某个目录——gzip 只能压单个文件压不了目录结构。你能看到tar.gz、tar.bz2、tar.xz这类扩展名本质上都是 tar 打包后再接一个压缩算法。5.2 主流压缩算法对比算法扩展名压缩率压缩速度解压速度适用场景gzip.tar.gz中等快快最通用兼容性最好bzip2.tar.bz2较高较慢较慢追求压缩率且不介意速度xz.tar.xz最高很慢尚可发行版、软件源码包zstd.tar.zst高极快极快大文件、高频备份lz4.tar.lz4较低极快极快要求速度第一的临时备份从我用过的经验来看日常备份首选 gzip没有特殊原因就不要换。xz 压缩率确实高但压缩一个几个 G 的目录时会慢到让人怀疑人生适合对体积极度敏感的发布场景。zstd 是后起之秀兼顾速度和压缩率很多现代工具都开始默认支持但老服务器上不一定装使用前确认一下环境。5.3 压缩率、时间和 CPU 的取舍压缩本质是用 CPU 时间换存储空间。同一个文件gzip 压完可能 200Mxz 压完可能 150M但 xz 多花了三倍时间。我见过有人为了追求极致压缩率在一台低配服务器上压十几 G 的备份结果机器 CPU 跑到 100%服务直接卡顿。这种场景下用 zstd 或者干脆按文件类型跳过已压缩的格式才是更明智的选择。还有一个经验日志和文本文件压缩率很高能压到原来的 5% 到 10%但 JPEG、PNG、视频这些本身已经压缩过的文件再压也省不了多少纯粹是浪费 CPU。遇到这些文件备份时可以考虑用 tar 打包但不压缩或者用tar --exclude排除掉它们。6. 打包、压缩、解压、查看的完整实操流程理论说完上真命令。这一节我按实际使用频率把打包压缩解压的完整流程整理出来。6.1 最常用的打包压缩命令把/opt/app目录打包并用 gzip 压缩tar -czvf app_backup.tar.gz /opt/app参数拆解-c创建归档-z用 gzip 压缩-v显示过程-f指定归档文件名。-z可以换成-jbzip2或-Jxz如果你追求 zstd用--zstdtar --zstd -cvf app_backup.tar.zst /opt/app如果想排除某个子目录加--excludetar -czvf app_backup.tar.gz --exclude/opt/app/logs /opt/app注意--exclude的参数最好写绝对路径模式否则很容易出现排除了但没排除掉的诡异情况。6.2 解压并保持权限与属主解压常用的是-x替换-ctar -xzvf app_backup.tar.gz -C /tmp/restore-C指定解压到哪个目录。这一步我建议永远养成先-C指定目录的习惯因为 tar 包里的文件路径如果带有根路径解压时可能会释放到意外位置。保持权限属主是 tar 的默认行为前提是执行解压的用户有相应权限。跨机器恢复备份时如果提示权限不足先看看是不是用普通用户解压了需要 root 属主的文件。用 root 解压后/tmp/restore下文件属主不会丢失这一点是 tar 拷贝目录结构比cp -r更可靠的原因之一。6.3 查看压缩包内容而不解压不想解压只想看看 tar 包里有什么用-ttar -tzvf app_backup.tar.gz | head -n 20-t列出归档内容-z告诉 tar 先解压再列出。这个命令在确认备份是否完整、想找包里某个单文件时很有用比直接解压整个包快得多。查完可以直接提取单个文件tar -xzvf app_backup.tar.gz opt/app/conf/nginx.conf -C /tmp/提取时路径要和包内路径完全一致所以先用-t看清楚路径结构。6.4 跨机器传输与 qcow2 镜像压缩打包压缩之后往往要传输。大文件建议走 ssh 管道避免在本地生成中间文件tar -czvf - /opt/app | ssh user10.0.0.8 cat /backup/app_$(date %F).tar.gz这里-f -表示输出到标准输出再通过管道送进 ssh。日常备份脚本里这个写法很常见省去本地磁盘空间。如果遇到的是虚拟机的 qcow2 镜像文件不要直接用 tar 去压因为镜像里包含大量空白空间压缩效率极低。正确姿势是用qemu-img做压缩转换qemu-img convert -c -O qcow2 vm_origin.qcow2 vm_compressed.qcow2-c就是压缩标志。转换完成后检查一下新镜像确认无误再替换旧文件。这种场景在私有云和虚拟化环境的运维中经常遇到属于查找和压缩技能的跨领域延伸。7. 这些年踩过的查找与压缩的坑命令都会用之后真正拉高水平的反而是各种边角坑。我把自己踩过的、以及带新人时见过的高频问题集中说一遍。7.1 解压到当前目录导致文件散落有一次同事解压一个包没加-C直接把一堆.conf文件释放到当前目录覆盖了同名文件。tar 包内如果路径是相对路径解压时就会直接落到当前目录。所以解压前必做两件事第一tar -tzvf看路径结构第二提前建好目标目录并用-C指定。7.2 中文文件名与 Windows 解压乱码Linux 下用tar打包的文件名默认是 UTF-8 编码Windows 自带解压工具对 UTF-8 的 tar 包兼容性时好时坏尤其是老版本系统解压出来中文文件名全是乱码。之前传一份资料给同事对方反馈全是锟斤拷其实就是编码问题。解决方案有两个一是在 Windows 上用 7-Zip 解压它对 UTF-8 支持更好二是在 Linux 打包时避免中文文件名用拼音或英文代替。涉及跨平台传递文件时这一点提前处理好能省一大堆沟通成本。7.3 find -delete 的先验证习惯find支持-delete直接删文件配合时间条件可以快速清理过期文件find /var/log/nginx -type f -name *.log -mtime 30 -delete但这个命令极其危险一旦条件写错就可能误删在线日志。我自己的规矩是先执行不带-delete的 find把结果列表看一眼确认没错再执行删除。要检查更稳妥用-print代替-delete看输出。如果文件量很大可以先mv到临时目录而不是删确认无误后统一清空给自己留一条后悔药。7.4 符号链接和权限对打包的影响tar默认会保留符号链接本身而不是跟随目标所以打包/usr/bin/foo的软链接时同僚解压后可能只是一个失效的链接。如果需要跟随链接指向真实内容要用-h参数。这一区别在备份应用目录时经常引发为什么解压后程序跑不起来的疑问。权限方面解压 tar 包后如果二进制程序执行报Permission denied不要急着chmod 777先看是不是解压时属主不匹配。tar 会把属主信息一并解压但普通用户无法恢复 root 属主在你当前用户下看到的权限可能和预期不同。用ls -l确认属主再用chown调整这才是有理有据的做法。查找和压缩这两个能力看起来是 linux 常用命令里最简单的一档但真正用好的前提是你理解它们的边界find 是实时递归遍历locate 是索引查库grep 是内容扫描tar 是打包容器压缩算法各有取舍。把它们拆开理解再组合使用遇到磁盘满了找不到大文件日志太多不知道先处理哪些备份包太大传不过去这类问题你自然就知道第一步该敲什么命令了。