68、NTFS文件系统特性与恢复机制深度解析

NTFS文件系统特性与恢复机制深度解析

1. 稀疏文件与更改日志文件

• 稀疏文件：稀疏文件是NTFS文件类型的一种，本质上可视为压缩文件，但NTFS不会对其非稀疏数据进行压缩处理。不过，NTFS对稀疏文件的主文件表（MFT）记录的运行数据的管理方式，与包含稀疏和非稀疏数据的压缩文件相同。
• 更改日志文件：更改日志文件\$Extend\$UsnJrnl是一个稀疏文件，仅当应用程序启用更改日志记录时，NTFS才会创建它。该日志在$J数据流中存储更改条目，这些条目包含以下关于文件或目录更改的信息：
  • 更改时间
  • 更改类型（如删除、重命名、大小扩展等）
  • 文件或目录的属性
  • 文件或目录的名称
  • 文件或目录的文件引用编号
  • 文件父目录的文件引用编号

日志采用稀疏设计，以防止溢出。当日志的磁盘大小超过为该文件定义的最大值时，NTFS会将更改信息窗口之前的文件数据清零，该窗口大小等于最大日志大小。为避免应用程序持续超出日志大小时频繁调整大小，NTFS仅在日志大小超过最大配置大小两倍的应用程序定义值时才会缩小日志。

2. NTFS中的索引机制

• 文件目录索引：在NTFS中，文件目录本质上是文件名的索引，即文件名（及其文件引用）的集合，以特定方式组织以便快速