NVMe SSD支持Sanitize命令需先用sudo nvme id-ctrl /dev/nvme0 -H | grep -A 10 "Sanitize"检查SANICAP字段非零，否则不支持；三种模式中crypto-erase最快但需SED支持，block-erase最通用彻底，overwrite不推荐；nvme format -s不等同于sanitize，仅作用于当前命名空间且不满足NIST合规要求；执行后须验证Sanitize Status为0x0并检查无数据残留。
确认NVMe SSD是否支持Sanitize命令
不查就直接执行nvme sanitize，大概率会遇到Invalid Command Opcode或Sanitize not supported错误。NVMe 1.4+规范才强制要求支持Sanitize，老型号（如部分2017年前发布的PCIe 3.0 NVMe盘）可能只支持传统nvme format的用户数据擦除，甚至完全不支持硬件级擦除。
先运行以下命令检查控制器能力：
sudo nvme id-ctrl /dev/nvme0 -H | grep -A 10 "Sanitize"
重点关注两行输出：
-
Sanitize Capabilities (SANICAP)字段非零 → 表示支持Sanitize -
Sanitize Capabilities (SANICAP): 0x7中bit 0/1/2分别对应Block Erase/Crypto Erase/Overwrite是否可用
若SANICAP为0，说明该盘不支持Sanitize，只能退而求其次用nvme format -s（用户数据擦除）或厂商工具。
用nvme-cli执行Sanitize的三种模式选择
Sanitize不是“一键清空”，三种模式差异极大，选错既浪费时间又达不到安全目标：
-
--sanact=block-erase：物理擦除所有NAND块，耗时最长（分钟级），但最通用，不依赖加密功能 -
--sanact=crypto-erase：仅删除加密密钥，秒级完成，前提是SSD启用了自加密（SED）且SANICAPbit1置位；擦除后数据仍存于闪存，但无密钥即不可读 -
--sanact=overwrite：逐块覆写指定模式（如全0），兼容性差、耗时长、对SSD寿命有损耗，一般不推荐
实操建议：
Linux Security Scanner
下载
Linux 安全审计工具，检查 SSH 配置、开放/监听端口、防火墙规则（ufw/iptables/nftables）、失败登录尝试、sudoers 权限...
- 优先尝试
crypto-erase：执行sudo nvme sanitize /dev/nvme0 --sanact=crypto-erase，成功则立刻返回，无需等待 - 失败再试
block-erase：加--no-dealloc避免后续自动解除分配（某些场景需保留命名空间结构） - 全程禁止中断电源或
Ctrl+C，否则可能卡在“sanitize in progress”状态，需冷重启后重试
nvme format -s 和 Sanitize 的关键区别
很多人混淆nvme format -s和nvme sanitize，以为加了-s（secure erase）参数就是硬件级擦除——这是危险误解。
nvme format -s本质是触发“用户数据擦除”（User Data Erase），它：
- 只作用于当前命名空间，不清理控制器缓存、预留空间（OP）、坏块映射表等区域
- 对支持SED的盘，可能悄悄降级为密钥清除（取决于固件实现），但无明确反馈
- 不满足NIST SP 800-88的“不可恢复”要求，审计时可能被判定为不合规
而nvme sanitize是独立命令，强制作用于整个NVM子系统，覆盖范围明确写入NVMe协议。生产环境退役硬盘，必须用sanitize而非format -s。
执行后验证是否真正擦除干净
命令返回Success不代表万事大吉。NVMe擦除是异步操作，部分固件会在后台持续清理数分钟，此时立即读取可能仍看到旧数据。
验证步骤：
- 等待至少2分钟，再执行
sudo nvme get-log /dev/nvme0 --log-id=0x08 --raw-binary | head -c 64 | xxd，检查Sanitize日志中的Sanitize Status字段是否为0x0（完成） - 用
sudo dd if=/dev/nvme0n1 bs=4K count=100 | strings | head抽样读取前端数据，确认无明文敏感信息残留 - 最关键的验证：重新分区并挂载后，用
smartctl -a /dev/nvme0查看Media and Data Integrity Errors是否归零，非零值说明擦除过程异常中断过
别跳过验证。一块没擦净的NVMe盘转售出去，残留的数据库文件或密钥，比没擦更危险。
