tune2fs -l 是最直接、最可靠的方式，但仅适用于 ext2/ext3/ext4 文件系统，需先用 df -P / 动态获取根分区设备名，再执行 sudo tune2fs -l $(df -P / | tail -1 | awk '{print $1}') | grep 'Filesystem created' 查看创建时间。
tune2fs -l 是最直接、最可靠的方式，但仅适用于 ext2/ext3/ext4 文件系统。它查的是根分区文件系统的创建时间，这个时间点在绝大多数标准安装场景下，就等于系统安装时间。
怎么用 tune2fs 查根分区创建时间
关键不是硬记路径，而是动态获取设备名，避免写死 /dev/sda1 或 /dev/mapper/... 导致命令失败：
- 先用
df -P /看根目录挂在哪块设备上，输出第二列是设备路径（如/dev/mapper/vg0-lv_root） - 再把结果传给
tune2fs -l，并过滤出创建时间行：sudo tune2fs -l $(df -P / | tail -1 | awk '{print $1}') | grep 'Filesystem created' - 如果提示
Permission denied，说明没加sudo；如果提示Bad magic number，说明该设备不是 ext 系列文件系统（比如是 xfs 或 btrfs），这条路走不通
为什么不能直接用 ls -lt / 看最早文件时间
因为 ls -lt / 默认显示的是修改时间（mtime），不是创建时间（crtime）；而 Linux 的大多数文件系统（包括 ext4）直到较新内核才支持真正意义上的“创建时间”，且 ls 命令本身不显示它。即使你加了 --time=creation 参数：
- ext4 在 2010 年后才默认启用 crtime 支持，老系统或某些发行版定制内核可能没开
-
ls --time=creation在多数发行版的 coreutils 中仍不支持（会报错或静默回退到 mtime） - 根目录下很多文件（如
/proc、/sys）是虚拟文件系统，没有真实磁盘时间戳，干扰判断
遇到 xfs 或 btrfs 怎么办
这两个文件系统不认 tune2fs，得换工具：
- xfs：用
xfs_info查不到创建时间，但可以用xfs_db -r -c 'sb 0' -c 'print' /dev/xxx看mkfstime字段（需 root，且只对较新 xfsprogs 版本有效） - btrfs：目前无标准命令能直接读取创建时间；更现实的做法是查
/var/log/installer/目录的创建时间：ls -ld /var/log/installer—— 这个目录只在安装时生成，时间戳通常很准 - 如果连
/var/log/installer都不存在（比如最小化安装或容器环境），那就只能退到包管理器日志：rpm -q --last | tail -n 1（RHEL系）或zcat /var/log/dpkg.log.*.gz | head -n 1（Debian系压缩日志）
真正容易被忽略的点是：没有一种方法 100% 通用。ext 系统靠 tune2fs，xfs/btrfs 得切工具链，而容器或云镜像可能压根没留安装痕迹——这时候看 /etc/os-release 里的 VERSION_CODENAME 和发布时间反推，反而更实际。
