Linux文件系统与日志分析

目录

一、文件数据

二、目录文件的结构

硬盘分区后的结构

三、inode号的特殊作用

四、如何恢复文件数据

---

一、文件数据

inode（索引号）  block（块）连续的8个扇区组成一个block（4k）是文件存取的最小单位

元数据——>inode  一个文件必须占用一个inode号

数据——>block      但至少占用一个block

inode也叫i节点，用于存储文件元数据

stat [文件名]  详细的信息展示

Linux 系统文件三个主要的时间属性

ctime （change time）最后一次改变文件或目录（属性）的时间

atime (accesstime) 最后一次访问文化或目录的时间

mtime （modify time）最后一次修改文件或目录（内容）的时间

atime：使用这个文件的时候就会更新时间

mtime：修改文件内容或数据就会更新时间（当一个空文件，你添加了内容，保存之后，inode号也会发送变化）

ctime：修改文件的权限或属性的时候，就会更新这个时间（数据占用空间发生了变化，inode号也会发生变化，inode号变了，ctime也会发生变化）

二、目录文件的结构

目录也是一种文件

Linux系统内部不使用文件名，而使用inode号码来识别文件，对于用户，文件名只是inode号码便于识别的别称。

数据大小改变，占用块的数量也会变化，导致inode号也变化，ctime随之变化

对于用户，文件名只是inode号便于识别的别称，Linux系统通过inode号识别文件

inode信息包括（权限、属性等）

硬盘分区后的结构

文件名    ——>   目录项（目录块）

元信息 ——>   ionde（inode表区块）

数据  ——>  block块（block数据区）

三、inode号的特殊作用

格式化文件系统时确定inode的总数（分区——inode大小）

EXT4文件系统最少分区4MB

查询可用inode号（df -i）

由于inode号与文件分离，导致一些Linux系统有一些特殊情况

文件名存在字符码串特殊符号时，无法正常删除文件/目录（通过inode号来删除）

用inode号删除命令格式（find -inum [inode号] -exec rm -rf { } \ ;

先查到指定inode再进行删除（inode号从块里直接移除）

四、如何恢复文件数据

1、rpm -q xfsdump 检查是否安装软件包

2、xfsdump -f /opt/backup [硬盘目录]  [-L backup -M sbd1]

3、删除文件

4、xfssrestore -f /opt/backup [原目录] 读取原数据恢复