服务器里的文件var什么意思，linux中var目录有什么作用

/var目录是Linux服务器上专门存放动态变化数据的核心目录，全称variable（可变数据），涵盖日志、缓存、临时文件、队列等运行时产生的文件，它和存放系统程序的/usr目录一样，是服务器文件系统结构中绝不可随意删除的基石。如果你曾因为磁盘空间告急而对着这个目录发愁，或者好奇为什么日志文件都堆在/var/log里,这篇文章会给你一个清晰的答案。

服务器/var目录是什么？先搞懂它的角色定位

很多刚接触服务器运维的朋友，第一次看到/var都会愣一下，心里嘀咕“这目录到底干嘛的”。行业共识认为，/var存在的意义就是把“系统运行过程中持续变化的文件”统一收纳起来，避免它们散落在根目录各处,把根目录搞得乱七八糟。

放在具体场景里更好理解：你的网站每秒钟都有人在访问，Nginx或Apache会把每一次请求记录到日志里，这些日志文件不断变大，它们存在哪？就存在/var/log里，系统更新时下载的安装包缓存放在哪？/var/cache，程序运行时创建的锁文件、PID文件放在哪？/var/run，邮件队列、打印队列呢？/var/spool。

从Unix老祖宗时代说起

这个命名习惯可以追溯到上世纪70年代的Unix系统，当时的设计者把目录划分成两类：
安装完系统就不再变化的程序文件，放在/usr里，可以只读挂载系统跑起来就开始增长、变化的数据，单独划一个分区存放，这就是/var

这个设计很聪明。运维人员备份时只备份/var里的关键数据就行，不用把整个系统盘打包，而且如果/var所在的磁盘满了，最多影响日志记录和程序运行，不至于让系统直接崩溃，因为根分区和/usr分区是独立的。

/var、/usr、/tmp三家对比

• /usr：系统自带程序、软件包、库文件，只读属性，基本不变
• /tmp：系统重启后可能被清空的临时文件，生命周期极短
• /var：持久化的动态数据，重启后依然保留，这是和/tmp的本质区别

所以下次有人问你“/var/tmp和/tmp有啥不一样”，你可以理直气壮地告诉他：/var/tmp里的文件在重启后还能存活，适合放那些需要跨重启保留的临时数据，而/tmp更适合放一次性的垃圾文件。

/var目录下到底装了些什么文件？各子目录逐一拆解

打开一台Linux服务器，执行ls /var，你会看到一堆子目录，多数情况下，真正占空间的大户只有那么几个，了解一下它们各自的功能,你就能精准定位磁盘空间问题。

日志文件主阵地：/var/log

这是服务器运维人员打交道最多的目录，没有之一，你排查网站报错、分析访问来源、追踪黑客入侵痕迹,全都要从这里翻线索。

常见文件名包括：

• /var/log/messages：大部分发行版的系统总日志，硬件变动、内核提示、服务异常都会记录到这里
• /var/log/secure：登录认证日志，有人暴力破解你的SSH密码，这里会留下痕迹
• /var/log/nginx/access.log：Nginx的访问日志，记录了每一个请求的IP、时间、状态码、User-Agent
• /var/log/mysql/error.log：MySQL数据库的错误日志，SQL执行出错时来这儿找原因

缓存数据中转站：/var/cache

这个目录存的是“删了也不影响功能，但留着能提速”的文件，最典型的就是包管理器的缓存，比如yum或apt下载的软件包会先存在这里，安装完成后这些安装包其实就没用了,但不清理的话会一直躺着占空间。

服务器程序的“路标”：/var/run

从名字就能猜到意思：程序运行时需要用到的一些信息，比如Nginx启动后，它的主进程ID（PID）会写进/var/run/nginx.pid，这样你执行nginx -s reload时,系统就知道该给哪个进程发信号。

队列数据停车场：/var/spool

这个地方存放待处理的任务数据,最常见的是：

• /var/spool/cron：各用户的定时任务计划表
• /var/spool/mail：本地用户的邮件队列，系统给root发通知邮件时会用到
• /var/spool/print：打印任务队列

系统状态的“体检报告”：/var/lib

这个目录藏得比较深，但重要性排第一梯队,它存放的是系统服务运行过程中需要的持久化状态数据。

• MySQL的数据库文件默认可能放在/var/lib/mysql
• Docker的容器和镜像数据存放在/var/lib/docker
• RPM包的数据库在/var/lib/rpm

做了快照或备份的话，/var/lib相当一部分数据都需要备份,因为丢了这个目录等于丢了数据库本体。

/var/log日志文件太大怎么清理？三个实操办法

很多人真正问“服务器里的文件var什么意思”，其实是想解决磁盘满了的问题，打开df -h一看，/var分区红了,清理日志是最直接的止血措施。

手动截断法

日志文件正在被进程占用，直接rm删掉可能没问题，但更好用的操作是清空文件内容而不删除文件本体：

# 将messages日志文件清空
> /var/log/messages
# 或使用truncate命令
truncate -s 0 /var/log/nginx/access.log

这种方法的好处是，正在写日志的进程不需要重启，文件句柄依然有效,写操作不会中断。

logrotate轮转配置

Linux发行版默认装了logrotate工具，日志轮转就是靠它实现的，它可以按日期或大小自动切割日志,并删除过期的旧日志。

查看当前配置：

cat /etc/logrotate.d/nginx

常见的配置参数：

• daily：按天切割
• rotate 30：保留30份旧日志
• compress：切割后压缩成gz格式
• size 100M：当天日志达到100MB就提前切割

修改完配置后执行logrotate -f /etc/logrotate.conf立即生效。

清理软件包管理器缓存

如果是yum或apt系统的缓存占满/var,可以执行：

# CentOS/RHEL
yum clean all
# Ubuntu/Debian
apt clean

这个操作不会影响已安装的软件，只是把下载的安装包缓存清掉,跟清理手机应用缓存是一个道理。

如何快速找到/var目录里的“大胃王”？

直接杀进去翻目录太慢了,用命令定位最省事：

# 查看/var目录下所有子目录的磁盘占用，按从大到小排序
du -sh /var/ | sort -rh
# 只看前10个最大的文件
find /var -type f -size +100M -exec ls -lh {} ; | sort -k5 -rh | head -10

执行完第一条命令，基本一眼就能锁定元凶，常见的结果除了/var/log、/var/lib，还有可能是某个宝塔面板的备份目录或者Docker的overlay2镜像层数据。用这套方法查一遍，比盲目猜省太多时间。

服务器运维新手最容易踩的两个坑

坑一：直接rm掉/var/log/secure

这个文件记录着系统安全事件，删了之后旧记录全没了，如果服务器日后被入侵，你想追溯入侵者的操作路径，证据全丢了，稳妥的做法是保留备份或直接轮转,而不是物理删除。

坑二：把/var/lib/docker整个删掉“释放空间”

这操作等于是把容器和镜像全部毁尸灭迹，删完docker ps一查，所有容器没了，真要清理Docker空间，用docker system prune命令，它能区分哪些是悬空镜像、哪些是停止状态的容器，只清理垃圾、保留有用数据。

Q&A：服务器/var目录相关的高频问题解答

Q1：/var目录能直接删除吗？

绝对不能，删掉/var意味着服务器上的日志、定时任务、数据库文件、软件包管理信息全部消失，系统基本处于半瘫痪状态，你可以清空/var下的子目录内容,但目录本身和大部分关键子目录的结构必须保留。

Q2：/var目录多大比较合适？

这跟服务器的用途强相关，单纯跑个静态网站的服务器，/var分配20GB绰绰有余；如果是频繁产生日志的Web服务器或数据库服务器，建议把/var单独分区并分配50GB以上，避免日志增长撑爆根分区，业界有一种说法是磁盘空间规划时给/var留出总容量的10%-20%,实际运维中根据日志增长速度动态调整。

Q3：/var和/var/log的区别是什么？

/var是总目录，/var/log只是它的一个子目录，专门负责存放系统日志，你可以把/var理解成一间办公室，/var/log是档案室，/var/cache是茶水间的储物柜，/var/lib是保险箱，日常排查问题进档案室最多,但出大问题时保险箱才是最要命的。