误删文件可恢复，关键在于立即停止写操作并优先从/proc找回；若不可行，再用extundelete或photorec扫描恢复；日常应启用rm -i、trash-cli及定期快照预防。
Linux下误删文件，别急着关机或写入新数据，恢复成功率取决于文件是否被覆盖。核心思路是：立即停止对目标分区的写操作，尽快用专业工具扫描未覆盖的inode或数据块。
一、先确认删除方式和文件状态
不同删除方式影响恢复难度：
- 普通rm命令：只是解除文件链接，inode和数据块通常还在，只要没被新文件覆盖就可恢复
- shred或srm等安全删除工具：已覆写多次，基本无法恢复
- ext4文件系统启用了discard（如挂载了SSD）：TRIM可能已通知磁盘清空块，恢复概率大幅降低
- 文件刚删且仍在进程打开中：/proc/PID/fd/下还能看到句柄，可直接复制出来
二、优先尝试从/proc找回（适用于正在运行的进程）
如果文件被删时仍有程序在读写它，系统仍保留其数据副本：
- 用lsof + grep deleted查哪些进程还持有已删文件句柄，例如：
lsof | grep deleted - 找到对应PID后，进入
/proc/PID/fd/，用ls -la查看带“deleted”标记的文件描述符 - 直接
cp /proc/PID/fd/N /path/to/recover/file拷出内容（N为fd编号）
三、使用extundelete或photorec进行磁盘级恢复
针对ext3/ext4文件系统，推荐分场景选择工具：
-
extundelete：依赖未被擦除的ext3/4日志和inode信息，适合刚删、未格式化、未大量写入的情况
安装后执行：extundelete /dev/sdXN --restore-all（需卸载该分区或只读挂载） -
photorec：不依赖文件系统结构，按文件头签名恢复，支持上百种格式，但会丢失原文件名和目录结构
运行photorec /dev/sdXN，交互式选择分区和保存路径即可 - 注意：恢复前尽量把目标数据另存到其他磁盘，避免覆盖源分区剩余空间
四、预防比恢复更重要
日常操作中降低误删风险：
- alias rm='rm -i' 或启用trash-cli（类似回收站），删前二次确认
- 重要目录定期快照（LVM快照、btrfs snapshot、rsync+硬链接备份）
- 关键服务器开启ext4的journal模式并定期检查，避免因崩溃导致元数据损坏
- 运维脚本加dry-run选项，删除前先列出将操作的文件
