LUKS是分区级加密容器，非文件密码；其核心为分层设计：用户密码仅解锁主密钥，dm-crypt实时加解密数据。必须用LUKS2格式，显式指定argon2id、5秒迭代、aes-xts-plain64与512位密钥，并完成识别、卸载、清空三步前置操作。
LUKS 不是“给文件加个密码”，而是把整个分区变成一个加密容器——数据写进去自动加密，读出来自动解密，对上层应用完全透明。真正起作用的是它背后的分层设计：用户密码只用来解锁主密钥，主密钥才真正加密数据；而主密钥本身由内核 dm-crypt 模块实时处理，不落地、不暴露。
选对格式和参数，别让默认值拖后腿
LUKS2 是唯一应选的格式，LUKS1 已淘汰。它支持 Argon2id 密钥派生、多份元数据备份、抗头部损坏，这些不是可选项，是现实威胁下的刚需。
- 初始化必须显式指定：
--type luks2 --pbkdf argon2id --iter-time 5000（约 5 秒密钥派生，大幅抬高暴力破解成本） - 加密算法固定用
aes-xts-plain64，密钥长度设为--key-size 512，避免回退到弱配置 - 不要跳过
cryptsetup luksDump验证——确认 PBKDF 迭代数、cipher、key slots 数量是否符合预期
操作前必须完成三件事：识别、卸载、清空
LUKS 初始化不可逆，一步错，数据全无。不能靠“试试看”。
Zynq Linux Hardware Debug
下载
Zynq‑7000 / Zynq UltraScale+ 硬件调试技能。适用于 Xilinx Zynq（Cortex‑A9/A53 + FPGA）Linux 环境，调试 I2C、I2S、UART、GPIO 等外设。包括设备树配置、内核驱动、用户空间调试工具、交叉编译和常见问题排查，支持 PetaLinux 开发。
- 用
lsblk -f和sudo blkid精准定位目标设备（如/dev/sdb1），严禁对整盘（/dev/sdb）或系统盘操作 - 运行
mount | grep sdb1，确保无挂载输出；若有，先sudo umount /dev/sdb1 - 确认该分区无有效数据——
luksFormat会覆写头部和 superblock，无法恢复
加密后不是直接能用，要走完整链路
LUKS 创建的是“锁住的块设备”，不是文件系统。映射、格式化、挂载缺一不可。
- 映射：
sudo cryptsetup open /dev/sdb1 mydata→ 生成/dev/mapper/mydata - 格式化：
sudo mkfs.ext4 /dev/mapper/mydata（ext4 稳定，XFS 可选；避开 Btrfs，存在加密层兼容风险） - 挂载：
sudo mkdir -p /mnt/encrypted && sudo mount /dev/mapper/mydata /mnt/encrypted - 验证后务必执行
sudo umount /mnt/encrypted && sudo cryptsetup close mydata，再重开一次，确认闭环可靠
自动挂载 ≠ 免密，而是可控信任
服务器或无人值守场景必须自动解锁，但不能牺牲安全性。密钥文件是标准解法，而非明文密码硬编码。
- 生成密钥文件：
sudo dd if=/dev/urandom of=/etc/luks-keys/mydata.key bs=512 count=4 && sudo chmod 0400 /etc/luks-keys/mydata.key - 注入 LUKS 容器：
sudo cryptsetup luksAddKey /dev/sdb1 /etc/luks-keys/mydata.key - 配置
/etc/crypttab：一行写全mydata UUID=xxxx-xxxx /etc/luks-keys/mydata.key luks,discard（UUID 用sudo blkid查） - 同步更新
/etc/fstab，并确保 initramfs 包含 cryptsetup 支持（Debian/Ubuntu 执行sudo update-initramfs -u）
