xfs_metadump -gwo 配合 gzip 是跨机房远程取证最实用的轻量级方案，仅导出结构元数据，体积为原分区0.1%～2%，需在卸载XFS设备后执行，支持坏块跳过、警告忽略与原始格式输出，压缩包须校验superblock签名并记录上下文。
直接用 xfs_metadump -gwo 配合 gzip 管道压缩导出，是跨机房远程取证最实用的轻量级方案——它不传文件内容，只打包结构元数据，体积通常只有原始分区大小的 0.1%～2%，大幅降低传输耗时和带宽压力。
确认文件系统已卸载并定位设备
必须在未挂载状态下执行，否则元数据可能不一致，失去分析价值：
- 用
findmnt /mount/point或df -h | grep xfs检查是否挂载 - 若已挂载，先执行
umount /dev/sdX1；失败时用fuser -v /mount/point查占用进程 - 用
blkid -t TYPE=xfs -o value /dev/sdX1确认设备确为 XFS 类型
执行带 gzip 压缩的元数据导出
推荐使用 -gwo 参数组合 + gzip（而非 bzip2），兼顾兼容性、鲁棒性和压缩速度：
xfs_metadump -gwo /dev/sdX1 - | gzip > xfs_meta_$(hostname)_sdX1_$(date +%Y%m%d_%H%M).dmp.gz- -g：跳过坏块，适合轻微介质损伤场景
- -w：忽略警告继续，防止单个 inode 异常中断整个导出
-
-o：输出原始格式，后续可用
xfs_mdrestore还原为可修复镜像 - 管道接
gzip比bzip2更快，压缩率略低但足够（通常 3:1～5:1），更适合带宽敏感的跨机房场景
验证压缩包有效性与交付准备
导出后快速校验，确保可用于后续分析或厂商支持：
- 解压并检查头信息：
gunzip -c xfs_meta_*.dmp.gz | head -c 512 | hexdump -C（应看到 XFS superblock 签名） - 本地加载查看（只读）：
xfs_db -r -f <(gunzip -c xfs_meta_*.dmp.gz) -c "sb 0" -c "agf 0" - 记录关键上下文：导出时间、
uname -r、xfs_info -V、设备路径、所在物理机/VM 信息 - 传输前设宽松权限（如需上传到共享平台）：
chmod 644 xfs_meta_*.dmp.gz
注意事项与避坑提示
该操作本身不写盘，但几个细节极易导致无效交付：
- 根文件系统无法卸载？必须从 Live CD/USB 或救援环境启动后再操作
- 若
smartctl -a /dev/sdX显示重映射扇区增长或 CRC 错误，优先做全盘 bit-by-bit 备份，再导出元数据 - 不要对同一设备反复运行
xfs_metadump—— 即使加-g，频繁读取老化盘可能加剧故障 - 导出文件不含任何用户数据，但含目录树、inode 分配、扩展属性等结构信息，满足多数厂商故障根因分析要求
