Linux find 按时间与大小组合筛选文件

Linux 上要同时按“修改时间”和“文件大小”筛选文件，核心写法是把 -type f、-mtime（或更细的 -mmin）和 -size 放在同一个 find 表达式中。多个测试条件默认按 AND 关系组合，例如：

find /var/log -type f -mtime +6 -size +100M -print
# 只列出 /var/log 下的普通文件：修改时间超过若干个完整 24 小时周期，且大小超过 100 MiB 单位

真正需要小心的是参数的边界：-mtime 按完整 24 小时周期向下取整，-size 会按指定单位向上取整。先把结果打印出来，再决定是否归档或删除，通常比直接接破坏性动作更稳妥。

先把时间和大小看成两个独立条件

find 先从指定路径遍历目录层级，再用表达式判断每个路径是否匹配。时间和大小不是同一个维度：前者读取文件的时间戳，后者读取文件的大小。因此排查日志、临时包或备份文件时，最好先分别确定两个条件，再组合。

这里的“修改时间”对应文件内容最后一次修改时间，不等同于访问时间或 inode 状态变化时间。若任务关注访问时间，应改用 -atime/-amin；若关注元数据变化，应改用 -ctime/-cmin。

多个条件默认就是 AND 关系

在 GNU find 中，连续写出的测试条件默认按 AND 组合；显式写 -a 可以让意图更清楚，但通常不是必需的。下面这条命令只筛选“普通文件、最近修改时间超过六个完整 24 小时周期、大小超过 100 MiB”的对象：

find /var/log \
  -type f \
  -mtime +6 \
  -size +104857600c \
  -print
# -type f 排除目录和设备节点
# -mtime +6 负责时间范围；-size 的 c 单位按字节比较
# -print 只输出路径，先观察结果再决定后续动作

如果你更习惯用 MiB 单位，可以写成：

find /var/log -type f -mtime +6 -size +100M -print
# M 表示 1024 * 1024 字节；大小测试会按单位向上取整

两种写法的工程意图略有不同：+100M 适合快速人工筛选，+104857600c 更适合脚本中明确表达“超过 100 MiB 的字节数”。

不要把 -mtime 7 当成“恰好七天前”

-mtime n 把距离当前时间的完整 24 小时周期向下取整。于是 -mtime 0 表示最近一个完整周期内，通常就是不到 24 小时；-mtime 1 表示已经进入第二个 24 小时区间，而不是一个精确时间点。

可以用前缀表达范围：

# 最近 24 小时内修改过的普通文件
find /srv/app -type f -mtime -1 -print
# -1 表示完整 24 小时周期数小于 1

# 修改时间已经超过 7 * 24 小时的普通文件
find /srv/app -type f -mtime +6 -print
# +6 可以避开把刚满 7 天的文件误读为“第 7 个周期以内”

# 最近 90 分钟内修改过且大于 50 MiB 的普通文件
find /srv/app -type f -mmin -90 -size +52428800c -print
# -mmin 适合分钟级窗口；c 单位按字节表达 50 MiB

如果任务是“从今天零点开始计算”，GNU find 可以使用 -daystart，但它只影响后面出现的时间测试：

find /srv/app -daystart -type f -mtime 1 -size +10M -print
# -daystart 必须放在受影响的时间测试前
# 这里按今天零点计算“昨天”对应的时间区间，大小条件仍独立生效

大小筛选要分清单位和取整方式

-size 默认使用 512 字节块，也可以通过后缀指定单位：c 是字节，k 是 KiB，M 是 MiB，G 是 GiB。大小测试会对结果按指定单位向上取整，所以“少于 1M”和“少于 1048576 字节”并不是完全等价的表达。

# 小于 10 MiB 的普通文件
find /data -type f -size -10M -print
# 适合人读的单位写法；边界按 MiB 单位取整

# 严格按字节筛选大于 10 MiB 的普通文件
find /data -type f -size +10485760c -print
# 10 MiB = 10 * 1024 * 1024 字节，c 让阈值直接落到字节

# 同时限定一个大小区间：大于 10 MiB 且不超过 200 MiB
find /data -type f -size +10485760c -size -200M -print
# 两个 -size 测试同样按 AND 关系组合

空文件会被 -size 0 匹配。对稀疏文件进行空间占用分析时要特别谨慎：-size 关注的是文件的逻辑大小（st_size），不等于实际分配的磁盘块数量。

先用安全输出确认，再交给后续动作

文件名可能包含空格、换行或引号。单纯依赖换行分隔的输出，不适合直接喂给批处理命令。需要继续归档、统计或删除时，优先使用 -print0 产生 NUL 分隔结果，并让下游工具使用对应的零字节选项。

# 第一步：只生成 NUL 分隔的候选文件列表
find /var/log -type f -mtime +6 -size +100M -print0
# -print0 不把文件名中的空白字符当作分隔符

# 第二步：确认无误后再传给归档工具
find /var/log -type f -mtime +6 -size +100M -print0 \
  | xargs -0r tar -czf old-large-logs.tar.gz
# -0 让 xargs 按 NUL 读取；-r 让空结果时不启动 tar

删除动作应单独审慎处理。若目录树中包含权限受限路径、挂载点或符号链接，先用同样的条件配合 -print 或 -printf 查看候选，再考虑 -delete 或 -exec rm -- {} +。文章只讨论筛选条件，不把删除当成筛选成功的证明。

一组可以直接改路径的速查命令

# 1. 最近一天内、超过 1 GiB 的普通文件
find /srv/app -type f -mmin -1440 -size +1G -print
# 1440 分钟 = 24 小时，适合按滚动时间窗口排查

# 2. 超过 7 天且小于 20 MiB 的普通文件
find /srv/app -type f -mtime +6 -size -20M -print
# 时间和大小都是 AND 条件，两个条件都满足才输出

# 3. 昨天生成的、超过 50 MiB 的文件（GNU find）
find /srv/app -daystart -type f -mtime 1 -size +50M -print
# -daystart 改变后续时间测试的起算点；size 仍按自己的单位规则判断

# 4. 适合脚本消费的结果
find /srv/app -type f -mmin +30 -size +104857600c -print0
# 下游程序要按 NUL 读取，避免特殊文件名导致拆分错误

记住一个简单的判断顺序：先确认起始路径，再加 -type f 限定对象，随后加入一个时间条件和一个大小条件，最后用安全输出观察候选。时间参数回答“多久以前”，大小参数回答“多大”，两者组合后才是“某时间范围内的某类大文件”。

常见问题

-mtime +7 是不是表示超过七天？

它比较的是向下取整后的完整 24 小时周期数，不能直接当作精确的“超过 7×24 小时”。需要明确边界时，使用 -mmin 或结合业务时间点重新表达，并在正式动作前先打印结果。

-size +100M 和按字节比较有什么区别？

前者按 MiB 单位取整，后者用 c 直接按字节表达阈值。对人工排查前者更易读，对脚本边界和文档约定后者更明确。

为什么结果里出现目录？

没有写 -type f 时，目录也可能通过大小测试。把 -type f 放在时间和大小条件前，可以把筛选对象收窄为普通文件。

什么时候应该用 -print0？

只要结果要交给 xargs、归档工具或脚本处理，并且文件名不是你完全控制的，就优先使用 -print0，同时让下游按 NUL 分隔读取。