Linux find 大小时间 怎样处理

在 Linux 上按“大小 + 时间”找文件，关键不是把参数堆在一起，而是先明确两个边界：-size 默认按指定单位向上取整，-mtime 按 24 小时区间计算。需要精确到字节、分钟或明确日期时，分别使用 -size ...c、-mmin 或 -newermt。

官方地址：https://www.gnu.org/software/findutils/manual/

下面所有命令都先做只读列出，确认结果后再接归档或删除动作。

先限定目录和文件类型

建议从 -type f 开始，避免把目录、软链接等对象混入文件清单。路径和通配符要加引号，防止当前 Shell 先展开模式。

# 只在备份目录中递归查找普通文件，先列出候选
find /var/backups -type f -name '*.log' -print

# 目录层级较深时限制范围，避免一次扫描无关挂载点
find /var/backups -maxdepth 2 -type f -name '*.log' -print

-maxdepth 是范围控制，不是性能保证；目录很多时仍应把搜索根目录缩小到真正需要排查的位置。

用 -size 表达大文件和小文件

GNU find 的 -size 支持 c 字节、k KiB、M MiB 和 G GiB。+n 表示至少达到 n 个单位，-n 表示小于 n 个单位；单位不同，边界也不同。

# 查找至少 100 MiB 的普通文件；M 表示 1024*1024 字节
find /var/log -type f -size +100M -print

# 查找小于 4096 字节的文件；c 让边界按字节理解
find /var/log -type f -size -4096c -print

# 查找 20 MiB 到 200 MiB 之间的文件，两个条件必须同时满足
find /var/log -type f -size +20M -size -200M -print

若要判断精确字节范围，优先使用 c。例如 -size -1M 与“小于 1 MiB”并不完全等价，因为按 MiB 单位判断前会向上取整。

用 -mtime、-mmin 处理修改时间

-mtime 以 24 小时为单位并向下取整：-mtime 0 表示最近 24 小时，-mtime +7 表示已经跨过 7 个完整的 24 小时区间。要查最近几十分钟，改用 -mmin 更直观。

# 查找最近 24 小时内修改过的日志文件
find /var/log -type f -name '*.log' -mtime 0 -print

# 查找最近 30 分钟内变化的文件；分钟窗口比 mtime 更细
find /srv/app -type f -mmin -30 -print

# 用明确时间点筛选，避免把“今天”误解成自然日
find /srv/app -type f -newermt '2026-10-22 00:00:00' -print

-newermt 适合日报、发布窗口等固定时间边界。它比较的是文件修改时间；如果业务关心访问时间或元数据变化，应改用对应的时间测试，而不是把 mtime 当成万能的“文件更新时间”。

组合大小和时间条件

多个测试默认按 AND 关系连接。需要 OR 时用括号，并转义括号避免被 Shell 当作语法。对带空格的文件名，使用 -print0 输出零字节分隔结果，后续再用 xargs -0 读取。

# 找出最近 7 天内修改且超过 50 MiB 的普通文件
find /srv/data -type f -mtime -7 -size +50M -print

# 在两种后缀中任选一种；括号和反斜杠保证由 find 解析
find /srv/data -type f \( -name '*.tar' -o -name '*.gz' \) -size +1G -print0

# 先把零字节分隔清单交给 du，避免空格文件名被拆开
find /srv/data -type f -size +1G -print0 | xargs -0 -r du -h

生产环境中不要把 -delete 直接接到第一次查询上。先保存或人工检查清单，再把确认过的条件复制到变更命令；这样可以把“条件理解错误”和“动作不可逆”分开。

常见问题

为什么 -mtime 0 找不到“今天创建”的文件？ 它不是自然日判断，而是最近一个完整 24 小时窗口；用 -newermt 写出当天零点更明确。

为什么 -size +100M 和 ls 显示的大小有差异？ -size 的单位和向上取整规则会影响边界；需要按字节判断时使用 c，不要只凭展示值猜测。

为什么管道处理后文件名被拆开？ 普通换行输出无法安全表示包含空格或换行的文件名，使用 -print0 | xargs -0 保留边界。

记住一条实用顺序：先用 -type f 缩小对象，再用 -size 和时间条件缩小范围，最后用安全分隔符输出清单。这样排查磁盘、日志和备份目录时，结果更容易复核，也不容易误触发批量操作。