xfs_metadump默认不压缩，需用gzip等外部工具压缩并打包上下文；必须保证解压后字节一致、校验通过，并附带命令、时间戳、设备路径及xfs_info等取证信息。
直接用 xfs_metadump 生成的元数据镜像默认不压缩，体积大（尤其大容量 XFS 分区），跨网络传输用于取证时浪费带宽。关键不是“能不能压缩”，而是“怎么压才不影响后续分析和恢复”。
先确认是否支持带压缩导出
xfs_metadump 本身不内置压缩选项（如 -z 或 --gzip），它只输出原始二进制元数据流。所以不能指望加个参数就自动压缩。必须靠外部工具配合，且要保证：
- 压缩过程不破坏二进制结构（不能用文本类处理）
- 解压后得到的文件与原始
xfs_metadump输出完全一致（sha256sum校验需通过） - 取证链完整：压缩包里应附带原始命令、时间戳、设备路径、
xfs_info输出等上下文
推荐的压缩+打包流程
在目标主机上执行，避免先传再压：
- 用
xfs_metadump -m /dev/sdXN meta.img导出元数据（-m跳过不可读 inode，提升成功率） - 立即用
gzip -9 meta.img压缩（-9最高压缩比，适合取证归档） - 打包上下文：
tar -cf meta-context.tar meta.img.gz $(xfs_info /dev/sdXN | head -n5) /proc/mounts - 最终用
gzip -9 meta-context.tar再压一次（tar + gzip 双层压缩对小文件更优）
跨机传输前的关键优化
不是所有压缩都省带宽——得看数据特征：
- 若分区大量空闲或零块多（如刚格式化、删过大量小文件），
xfs_metadump输出含大量零字节，gzip效果极好（常压到原大小 5%~15%） - 若元数据高度碎片化或加密/随机内容多，压缩率可能仅 20%~40%，此时可改用
zstd -T0 -19（多核 + 更高压缩比） - 禁用
xfs_metadump -r（递归 dump 所有 AG）除非必要——它会让体积翻倍，取证通常只需主 AG 元数据
接收端还原与验证
解压后不能直接交给 xfs_mdrestore，必须确保字节级还原：
- 解包后运行
sha256sum meta.img.gz && gunzip -t meta.img.gz验证完整性与可解压性 - 解压：
gunzip -k meta.img.gz（-k保留压缩包，符合取证存证要求） - 比对原始
xfs_info和当前挂载点状态，确认无活跃写入干扰 dump 结果
