误删文件可恢复，关键在于立即停止写操作并优先从 /proc 找回；若不可行，再用 extundelete 或 photorec 扫描恢复；日常应启用 rm -i、trash-cli 及定期快照预防。
Linux 下误删文件，别急着关机或写入新数据，恢复成功率取决于文件是否被覆盖。核心思路是：立即停止对目标分区的写操作，尽快用专业工具扫描未覆盖的 inode 或数据块。
一、先确认删除方式和文件状态
不同删除方式影响恢复难度：
- 普通 rm 命令：只是解除文件链接，inode 和数据块通常还在，只要没被新文件覆盖就可恢复
- shred 或 srm 等安全删除工具：已覆写多次，基本无法恢复
- ext4 文件系统启用了 discard（如挂载了 SSD）：TRIM 可能已通知磁盘清空块，恢复概率大幅降低
- 文件刚删且仍在进程打开中：/proc/PID/fd/ 下还能看到句柄，可直接复制出来
二、优先尝试从 /proc 找回（适用于正在运行的进程）
如果文件被删时仍有程序在读写它，系统仍保留其数据副本：
- 用 lsof + grep deleted 查哪些进程还持有已删文件句柄，例如：
lsof | grep deleted - 找到对应 PID 后，进入
/proc/PID/fd/，用ls -la查看带“deleted”标记的文件描述符 - 直接
cp /proc/PID/fd/N /path/to/recover/file拷出内容（N 为 fd 编号）
三、使用 extundelete 或 photorec 进行磁盘级恢复
针对 ext3/ext4 文件系统，推荐分场景选择工具：
- extundelete：依赖未被擦除的 ext3/ 4 日志和 inode 信息，适合刚删、未格式化、未大量写入的情况
安装后执行：extundelete /dev/sdXN --restore-all（需卸载该分区或只读挂载） - photorec：不依赖文件系统结构，按文件头签名恢复，支持上百种格式，但会丢失原文件名和目录结构
运行photorec /dev/sdXN，交互式选择分区和保存路径即可 - 注意：恢复前尽量把目标数据另存到其他磁盘，避免覆盖源分区剩余空间
四、预防比恢复更重要
日常操作中降低误删风险：
- alias rm=’rm -i’ 或启用 trash-cli（类似回收站），删前二次确认
- 重要目录定期快照（LVM 快照、btrfs snapshot、rsync+ 硬链接备份）
- 关键服务器开启 ext4 的 journal 模式并定期检查，避免因崩溃导致元数据损坏
- 运维脚本加 dry-run 选项，删除前先列出将操作的文件
