以下所有文字描述及截图均基于macOS10.13.6(17G65)
APFS简介
APFS是apple在WWDC2016跟随ios13一起发布的新一代文件系统,用以取代年龄比xp还大的HFS+(HFS Extend)文件系统。当升级到以下系统版本时会自动转换已有文件系统到apfs:macOS10.13,iOS 10.3, tvOS 10.2,watchOS 3.2。当然考虑到iOS10.3不支持32位设备,所以iphone5及之前的老设备都没机会享受这种待遇了。在macOS里面看到的大概是下图这样:
APFS是个容器,多个卷共享存储空间
这种设计与其他文件系统都不同,倒与lvm或者ldm的设计原理类似但又有区别。从上图我们可以看到这个APFS的容器一共53.48G,被4个卷共享空间(shared by 4 volumes),展示在界面上的只有一个卷叫APFS,放到火眼证据分析中解析可以看到4个卷:
默认安装10.13系统并且选择磁盘选择格式化为apfs类型时,系统默认生成四个卷:
APFS:这个名称不一定叫APFS,在系统安装界面会提示用户输入这个卷名,用于存放系统和用户数据。
Preboot:如果启用了FileVault加密会通过这个分区启动系统。(加密问题比较复杂,后面会详细说)<