Linux文件系统与日志分析

本章结构
   inode与block
   硬链接与软链接
   恢复误删除的文件
   分析日志文件

inode和block概述
   文件数据包括元信息与实际数据
   文件存储在硬盘上，硬盘最小存储单位是"扇区"，每个扇区存储512字节

   block（块）
     连续八个扇区组成一个 block(4K)
     是文件存取的最小单位

   inode（索引节点）
     中文译名为"索引节点"，也叫i节点
     用于存储文件元信息

   文件数据包括实际数据与元信息（类似文件属性）。文件数据存储在"块"中，存储文件元信息（比如文件的创建者、创建日期、文件大小、文件权限等）的区域叫做inode。因此，一个文件必须占用一个 inode，并且至少占用一个 block。
   
   inode不包含文件名。文件名是存放在目录当中的。Linux 系统中一切皆文件，因此目录也是一种文件。
  
   每个inode都有一个号码，操作系统用inode号码来识别不同的文件。Linux系统内部不使用文件名，而使用inode号码来识别文件。对于系统来说，文件名只是inode号码便于识别的别称，文件名和inode号码是一一对应关系，每个inode号码对应一个文件名。
 
   所以，当用户在Linux系统中试图访问一个文件时，系统会先根据文件名去查找它对应的inode号码；通过inode号码，获取inode信息；根据inode信息，看该用户是否具有访问这个文件的权限；如果有，就指向相对应的数据block，并读取数据

inode的内容
   inode包含文件的元信息
     文件的字节数
     文件拥有者的User ID       #不包含文件名
     文件的Group ID
     文件的读、写、执行权限
     文件的时间戳
     ......

   用stat命令可以查看某个文件的inode信息
     示例：stat aa.txt

   Linux系统文件三个主要的时间属性
     ctime(change time)
      最后一次改变文件或目录（属性）的时间
     atime(access time)
      最后一次访问文件或目录的时间
     mtime(modify time)
      最后一次修改文件或目录（内容）的时间

   目录文件的结构
     目录也是一种文件
     目录文件的结构

   inode的号码
     用户通过文件名打开文件时，系统内部的过程