安全清理临时文件需“删得准、不误伤、可追溯”：聚焦用户级目录，分层处理系统级路径，三重过滤（atime+type+占用状态），执行前预览日志，优先集成systemd-tmpfiles机制。
在脚本中安全清理临时文件，核心不是“删得快”，而是“删得准、不误伤、可追溯”。Linux 不会替你判断哪个 .tmp 文件还在被进程读写，所以脚本必须自带防护逻辑，不能依赖一句 find -delete 就完事。
明确目标目录和排除范围
别一上来就扫 /tmp 全目录。先聚焦真正可清理的路径：
-
优先处理用户级临时区：如
$HOME/.cache、$HOME/.local/share/Trash（回收站），这些目录权限清晰、基本无运行时依赖 -
系统级临时目录要分层对待：/tmp 可清理普通文件，但必须跳过
/tmp/systemd-private-*、/tmp/ssh-*、/tmp/.X11-unix等 socket 或 runtime 目录 - 绝对避开关键路径：/run、/dev/shm、/sys、/proc、/var/run —— 这些不是“临时文件存放地”，而是运行时接口，删了服务可能立即中断
用时间 + 类型 + 状态三重过滤
单靠后缀（如 *.tmp）或修改时间（mtime）都不够安全。推荐组合判断：
-
按访问时间（atime）而非修改时间：systemd-tmpfiles 默认用 atime，因为文件被读过才说明“还在用”；脚本中可用
find ... -atime +7，比 mtime 更贴近真实活跃度 -
限定文件类型：加
-type f排除目录、socket、fifo 等特殊文件，避免误删管道或锁文件 -
跳过被占用的文件（可选但推荐）：用
lsof +D /path 2>/dev/null | grep -q "$file"检查是否正被打开，若命中则跳过——这步稍慢，适合低频清理脚本
执行前预览 + 日志留痕
任何自动删除脚本上线前，都必须能“看清楚再动手”：
- 首次运行或修改规则后，把
-delete换成-print（Linux）或去掉Remove-Item（PowerShell），输出匹配列表到终端或日志，人工核对几条典型路径 - 脚本开头写入时间戳和上下文：
echo "[$(date '+%F %T')] START clean-temp for /tmp (7d+ atime)" >> /var/log/clean-temp.log - 每删一个文件，记录路径和大小：
echo "$(date '+%T') DELETE $file $(stat -c '%s' "$file" 2>/dev/null)B" >> /var/log/clean-temp.log - 最后汇总统计：
echo "[$(date '+%F %T')] DONE: removed $(wc -l > /var/log/clean-temp.log
集成进系统机制，别另起炉灶
不要自己写 cron 脚本去暴力清 /tmp，除非你明确知道 systemd-tmpfiles 被禁用了：
- 先确认默认机制是否生效：
systemctl is-active systemd-tmpfiles-clean.timer和systemd-tmpfiles --dry-run --all | head -20 - 如需调整策略，只改
/etc/tmpfiles.d/*.conf，比如延长 /tmp 保留期：sudo tee /etc/tmpfiles.d/local.conf - 自定义脚本应专注清理应用专属缓存（如 npm cache、docker build cache），而不是和系统机制抢 /tmp
