Linux find 按文件大小和修改时间组合筛选怎么写

在 Linux 上，find 可以把文件类型、大小和修改时间放进同一个表达式。最常用的写法是把每个条件默认按 AND 连接：-type f -size +100M -newermt '2026-09-01' ! -newermt '2026-09-10'。这样筛出来的是普通文件、大小超过约 100 MiB、修改时间在起止时间之间的文件。

官方手册：https://www.gnu.org/software/findutils/manual/html_node/find_html/

先用 -type f 限定对象，再用 -size 和两个时间条件收窄范围；出现 -o 时一定用括号明确它覆盖哪一组条件，确认输出后再接删除或归档动作。

先把大小条件和时间窗口写清楚

先从只读查询开始，假设要检查 /var/log 下的归档候选：

# 只查普通文件，筛选大于约 100 MiB 且处于时间窗口的对象
find /var/log -type f -size +100M \
  -newermt '2026-09-01 00:00:00' \
  ! -newermt '2026-09-10 00:00:00' \
  -print

-type f 会排除目录和符号链接本身。GNU find 的 -size 支持 c、k、M 等后缀；没有后缀时按 512 字节块计算，并且比较前会按单位向上取整。因此，日常排查用 -size +100M 足够直观；若边界必须按字节计算，可写成 -size +104857600c。

两个时间条件把窗口写成“晚于起点且不晚于或等于终点”的近似左闭右开范围：第一个 -newermt 筛掉起点以前的文件，! -newermt 再排除终点之后的文件。时间字符串要加引号，避免空格被 shell 拆成多个参数。

组合多个条件时为什么要用括号

只使用“同时满足”时，条件之间的隐式 -a 已经够用。问题通常出在“超过 100 MiB，或者是最近更新的配置文件”这种 OR 需求：

# -o 两侧都要是完整分支；括号前的反斜杠是给 shell 的保护
find /srv/app -type f \( \
  -size +100M \
  -o -name '*.conf' -newermt '2026-09-01' \
\) -print

这里的 \( ... \) 不是正则表达式，而是 find 表达式的分组符号；反斜杠避免当前 shell 把括号当作自己的语法。分组内的两条分支通过 -o 连接，组外的 -type f 仍然约束整个分组。

如果不加括号，表达式很容易变成“普通文件且大于 100 MiB，或者名称匹配配置文件且最近更新”，第二个分支可能绕过文件类型限制。看到 -o 时，先把每个分支完整写出，再决定哪些条件放在括号外。

把匹配结果输出成可核对的清单

只看路径时用 -print；排查空间占用时，可以用 GNU find 的 -printf 打印字节数、修改时间和路径：

# 先输出清单，不执行删除；%s 是字节数，%TY 等字段是修改时间
find /var/log -type f -size +100M \
  -newermt '2026-09-01' ! -newermt '2026-09-10' \
  -printf '%s\t%TY-%Tm-%Td %TH:%TM\t%p\n' \
  | sort -nr

文件名可能包含空格、换行或制表符时，不要把普通文本输出直接喂给另一个按行读取的脚本。可以改用 -print0，并让下游工具使用 NUL 分隔；如果后面要接批量动作，优先先保存或预览候选集。

# NUL 分隔能保留特殊文件名；xargs 的 -0 与 -print0 必须配套
find /srv/data -type f -size +1G -print0 \
  | xargs -0 -r -n 1 printf '候选文件：%s\n'

筛选命令确认无误后，再考虑 -exec、备份或清理。生产目录不要把查询和破坏性动作第一次就写在一条命令里，先缩小根目录、检查时间边界，再抽样核对路径。

常见问题

find 的 -size +100M 是严格大于 100 MB 吗？

它使用的是 GNU find 的单位规则；M 表示 MiB 量级并涉及按单位向上取整。需要按精确字节比较时使用 c 后缀，并把字节数写清楚。

-newermt 在所有 Linux find 上都能用吗？

它是 GNU find 常用的时间解析写法。精简系统若使用 BusyBox 或受限实现，先查看 find --help；可用参考文件配合 -newer reference，不要直接假设选项存在。

为什么加了 -o 后匹配出了目录？

通常是括号范围不完整，导致 -type f 只作用于 OR 的左侧。把两个完整分支放进 \( ... \)，并把共同条件放在括号外即可。