导出XFS元数据镜像需先卸载文件系统，再用xfs_metadump -gwo命令提取结构信息并压缩，仅含inode、目录树等元数据，可用于厂商分析或本地xfs_db/xfs_mdrestore验证修复。
导出XFS元数据镜像用于离线取证，核心是安全获取不包含用户数据、仅含结构信息的元数据快照，供后续分析或厂商支持使用。操作前必须确保文件系统已卸载，否则可能导出不一致状态。
一、前提：确认卸载与设备定位
元数据导出要求文件系统处于未挂载状态，否则命令会拒绝执行或产生不可靠结果：
- 用 findmnt -T /mount/point 或 df -h 确认目标分区当前是否挂载
- 执行 umount /dev/sdX1（如已挂载），失败时检查是否有进程占用：lsof +D /mount/point 或 fuser -v /mount/point
- 通过 blkid /dev/sdX1 验证设备类型确为 xfs，避免误操作其他文件系统
二、执行元数据导出（推荐压缩传输）
使用 xfs_metadump 提取结构化元数据，加 -gwo 参数可提升兼容性与完整性：
- xfs_metadump -gwo /dev/sdX1 - | bzip2 > xfs_meta_sdX1_$(date +%Y%m%d).dmp.bz2
- -g：跳过坏块（适用于轻微物理损伤场景）
- -w：忽略警告继续（避免因个别元数据项异常中断）
- -o：输出原始格式（便于后续 xfs_mdrestore 还原为镜像）
- 管道压缩可大幅减小体积，适合上传至支持平台或离线传输
三、验证与交付准备
导出文件不含实际文件内容，仅含inode、目录树、分配组等结构信息，可用于：
- 提交给存储厂商或Linux支持团队进行故障根因分析
- 本地用 xfs_db -r -f xfs_meta_sdX1.dmp 查看超级块、AG信息（需先解压）
- 配合 xfs_mdrestore 构建可修复的镜像：xfs_mdrestore xfs_meta_sdX1.dmp sdX1.img && xfs_repair sdX1.img
- 记录导出时间、设备路径、内核版本（uname -r）和xfsprogs版本（xfs_info -V），便于复现上下文
四、注意事项
该操作本身不修改磁盘，但务必避免在运行中导出已挂载XFS——这会导致日志状态与元数据不一致，使导出结果失去分析价值：
- 若系统无法正常卸载（如根文件系统），需从Live CD/USB或救援环境启动后操作
- 不要对疑似硬件故障盘反复尝试导出；若 smartctl -a /dev/sdX 显示重映射扇区增长，优先备份数据再处理
- 导出文件默认权限为600，传输前检查是否需调整（如上传到共享FTP）
