浅入理解磁盘数据恢复的原理 —— 替换比较删除更彻底！

在学习 Linux 时，了解到磁盘可存储的位置都是一个一个 block，而这些 block 由 inode 做为标记（从 inode 到 block 中间还有很多环节），当我们删除文件的时候，只是把 inode 标记为可用，文件在 block 中的内容是没有被清除的，只有在有新的文件需要占用 block 的时候，才会被覆盖。简单来说就是，我们在磁盘上所删除的数据实际并没有被删除，只是执行删除后被删除的 block 被标记为空闲（由 inode 表做标记），后续新增的数据可以写入这个 block 。

所以，当用户删除文件时，指向数据在硬盘上的具体位置的索引（inode）就会被删除（对于机械硬盘来说就是 LBA 逻辑块寻址）。举个栗子，为了管理方便，你把自己收藏的电影存放的位置写在一张纸上，某天你不慎把这张纸烧掉了，理论上你只损失了一张纸，实际的电影还在。通常我们的数据存储就是这样，删除文件时只是删除了文件的索引（inode），具体的文件还存在硬盘上。正因为实际数据仍然保存在硬盘上，数据恢复才有了操作的可能，当然前提是用户没有在原位置覆盖新的数据。当用户误删除了重要文件，使用数据恢复软件都有很高几率成功恢复文件，原理即是将磁盘的数据全部建立 inode 并连接 block（中间环节很多），这样就可以显示原来的文件，前提是没有被后续新增内容覆盖替换。