/var/log 占满磁盘的主因是 journalctl 日志无限增长、logrotate 失效或应用日志未切割；需用 journalctl –vacuum-size 或配置 journald.conf 限制，检查 logrotate 权限与规则，并清理 apt、unattended-upgrades 等隐藏日志目录。
为什么 /var/log 突然占满磁盘？
根本原因不是日志“太多”，而是默认配置下 logrotate 未启用或轮转策略失效，导致 journalctl 日志无限增长、旧压缩包残留、或应用（如 nginx、docker）未配置日志切割。直接 rm -rf /var/log/*.log 会中断正在写入的日志，甚至让服务崩溃。
journalctl 是日志膨胀的头号元凶
systemd-journald 默认不自动清理，尤其在桌面或测试环境，/var/log/journal/ 可能积累数 GB 二进制日志。清理前先确认是否需要保留：
- 查当前占用：
journalctl --disk-usage - 清空所有归档（重启后仍会记录新日志）：
journalctl --vacuum-size=500M（保留最新 500MB） - 或按时间清理：
journalctl --vacuum-time=2weeks - 永久限制：编辑
/etc/systemd/journald.conf，取消注释并修改SystemMaxUse=500M和MaxRetentionSec=4week，然后执行systemctl restart systemd-journald
logrotate 配置失效比想象中常见
/etc/logrotate.d/ 下的规则可能被注释、路径写错、或权限不足，导致 syslog、auth.log 等长期不轮转。检查方法：
