立即采取行动！

在生产环境中，我们应尽量避免进行风险操作。但如果不慎犯错，如何挽救呢？让我分享一个故事：上周我为了打包一个应用，需要整理Ubuntu 16.04上的线上数据，不小心删除了一个数据文件，幸而最终有惊无险，现记录如下。

extundelete

我的恢复计划主要依赖于一个工具——extundelete，其名字清晰地说明了其用途。ext代表Linux扩展文件系统，Linux系统支持多种文件系统，可以通过查看/proc/filesystem了解。

ext系统包括ext2、ext3和ext4，从ext2到ext4，功能不断增强。ext3引入了Journal（日志）机制，自Linux 2.4.15内核起支持，是从文件系统向日志式文件系统过渡的简便选择，提供了数据完整性和可用性保证。

Linux内核自2.6.28起支持ext4，这是Ubuntu 16.04的默认文件系统。ext4在兼容ext3的基础上，提供了更好的性能和可靠性。

回到extundelete，这是一个用于恢复ext3或ext4文件系统中误删文件的工具。安装命令如下：

sudo apt-get install extundelete

安装后，我演示如何使用extundelete恢复误删的文件。我在/root/undelete目录下创建了一个test.txt文件，写入内容2025-02-15，然后删除该目录：

rm -rf /root/undelete

接下来，使用extundelete找回文件。首先查看文件系统根目录的情况，命令如下（关于inode后续会解释）：

sudo extundelete /dev/vda1 --inode 2

执行后，我的系统输出如下：

可以看到root目录的Inode number是917505，再次执行命令查看root目录下的情况：

sudo extundelete /dev/vda1 --inode 917505

结果输出如下：

这次的输出中我们找到了被删除的文件夹undelete的Inode Number是1572902，然后执行恢复命令：

sudo extundelete --restore-inode 1572902 /dev/vda1

当前目录下会多出一个名为RECOVERED_FILES的目录，进入后发现文件层次结构与系统一致，查看内容，误删的文件被成功恢复。

Inode

恢复操作完成后，让我们了解一下背后的原理。过程中提到的关键词是Inode，引用维基百科的解释：

简单来说，Inode包含文件系统对象的元信息。在使用extundelete /dev/vda1 --inode xxx命令时，可以看到相关目录的元信息，如创建时间、修改时间等。

在文件系统中，存储分为两类：保存元信息的inode表，每个inode默认大小为256（ext4）或128字节；另一类是保存文件内容数据的，每512字节为一个扇区，8个扇区组成一个4字节的块（block），块是读写的基本单位。

每个文件系统对象对应一个inode数据，标识为Inode Number。由于inode表的位置和总数固定，可以通过这个号码直接索引查找inode表。

通俗地说，Inode保存了文件内容数据块的指针。执行rm操作时，实际上是删除了这个指针，而存储块上的内容并未立即清除（这点与C语言中的free函数相似）。extundelete通过扫描系统Journal里的内容，推算出被删除文件的inode信息，从而找回文件。

结语

虽然extundelete可以帮助我们挽回损失，但并非每次都能成功。误删文件后，应立即停止对文件设备的写操作，防止数据块内容被重新写入，导致无法恢复。extundelete的命令丰富，比如支持恢复指定时间段的文件、通过文件目录名直接恢复文件等，之前的恢复命令可以替换为：

sudo extundelete /dev/vda1 --restore-directory /root/undelete

与其亡羊补牢，不如做好防范措施，如定时进行快照备份、权限控制等。

希望大家永远不会用到extundelete。