linux系统删除文件有日志吗

有的。

在Linux系统中，有以下3个主要的日志子系统：

（1）系统接入日志。多个程序会记录该日志，分别记录到/var/log/wtmp和/var/log/utmp中，telnet和ssh等程序都会更新wtmp和utmp文件，系统管理员可以根据该日志跟踪到谁在什么时候登录过系统。

（2）进程统计日志。进程统计日志由Linux内核记录，当一个进程终止时，进程终止文件（pacct和acct）中会对这一事件进行记录。该日志可以供系统管理员分析系统使用者对系统进行的配置，以及对文件进行的 *** 作。

（3）错误日志。Syslog日志系统已经被许多设备兼容，Linux的Syslog可以记录系统事件，主要由syslogd程序执行，Linux系统下各种进程、用户程序和内核都可以通过Syslog文件记录重要的信息，错误日志记录在/var/log/messages中。

我们在Linux上创建或删除一个文件或文件夹，都习以为常，但这背后的实现原理是什么呢？

imap：inode map映射表

bmap：block map映射表

假如要存储a.txt到/tmp目录下。

当a.txt文件要存储到/tmp下时：

1) 元数据区分配node id ：从元数据区的inode table中找一个空闲的inode号分配给a.txt，如2222。再将imap表中2222这个inode号标记为已使用。

2) 数据区添加记录 ：在/tmp的data block中添加一条a.txt文件的记录。该记录中包括一个指向inode号的指针，例如"0x2222"。

3) 元数据区分配data block(每段空间)并写数据到数据区data block ：从元数据区bmap中找出空闲的data block，并开始将a.txt中的数据写入到data block中。每写一段空间( ext4每次分配一段空间 )就从bmap中找一次空闲的data block，直到存完所有数据。

4) 元数据区设置inode id的data block point ：元数据区在inode table中设置关于2222这条记录的data block point指针，通过该指针可以找到a.txt使用了哪些data block。

当要删除a.txt文件时：

1) 元数据区取消inode id的data block  point ：在inode table中删除指向a.txt的data block指针。这里只要一删除，外界就找不到a.txt的数据了。但是这个文件还存在，只是它是被"损坏"的文件，因为没有任何指针指向数据块。

2) 元数据区释放node id ：在imap中将2222的inode号标记为未使用。这个inode号就被释放，可以被后续的文件重用。

3) 数据区删除记录 ：删除父目录/tmp的data block中关于a.txt的记录。这里只要一删除，外界就看不到也找不到这个文件了。

4) 元数据区释放data block ：在bmap中将a.txt占用的block标记为未使用。这里被标记为未使用后，这些data block就可以被后续文件覆盖重用。

考虑一种情况，当一个文件被删除时，但此时还有进程在使用这个文件，这时是怎样的情况呢？外界是看不到也找不到这个文件的，所以删除的过程已经进行到了第(3)步。但进程还在使用这个文件的数据，也能找到这个文件的数据，是因为进程在加载这个文件的时候就已经获取到了该文件占用哪些data block，虽然删除了文件，但bmap中这些data block还没有标记为未使用。

详细分析du和df的统计结果为什么不一样

---