恢复已被覆盖的已删除文件

Question

我在具有格式化为 APFS 的 128GB SSD 的系统上使用 Mac OS Ventura。

大约一个月前，我从垃圾箱中删除了一份 PDF。

我试用了 EaseUS，它能够恢复该文件。但是，我无法下载，因为它是试用版软件。有一个我一直点击的预览。我的想法是也许只是对预览进行截图。

然后预览停止加载。不确定这是否是功能限制，或者文件是否由于我预览太多次而丢失。

在此期间，我还运行了其他几个数据恢复软件，试图下载实际的文件。PhotoRec 就是其中之一。我使用 PhotoRec 时磁盘空间不足，然后不得不清除其结果。

最后，我不得不关闭 EaseUS（它警告我说我可能会因为被覆盖而丢失数据）。

PhotoRec 和其他软件没有获得 PDF。

然后我尝试了 EaseUS 的非试用版，不幸的是它再也找不到 PDF 了。

我又运行了几次，然后也尝试了 Disk Drill。没有骰子。

它是否会永远丢失，或者是否有一些“更好的软件”可以找到它？

Answer 1

大约一个月前，我从垃圾箱中删除了一份 pdf 文件。

在系统上留下已删除的文件残留物需要很长时间。它可能会被重写很多次。

目前没有希望恢复一个月前已删除的文件。

它消失了。

Answer 2

虽然您可能能够看到文件名和大小，但这并不意味着您能够恢复任何实际数据。文件系统元数据在文件系统中的存储方式与实际文件数据不同，并且受到不同的保留期和模式的影响。

文件数据可能已经被覆盖，但恢复数据还有一个更大的问题，那就是您使用的是SSD。

SSD 具有磨损均衡算法，该算法在计算机使用的文件系统以下的级别重新排列数据，以充分利用 SSD 上有限的写入周期。磨损均衡本身不一定是问题，但计算机操作系统可以使用一种工具来帮助磨损均衡器：TRIM 命令。

使用 TRIM，操作系统可以告诉 SSD 哪些块不再包含需要保留的数据。曾经包含数据并已向其发出 TRIM 的块本质上会被重置为空白状态（全 1 或全 0，具体取决于 SSD）。实际擦除可能会在几小时或几天后发生，因为 SSD 控制器会在空闲时间擦除和回收块。

已执行 TRIM 的块甚至可能不会在命令运行后立即返回原始数据。SSD 控制器可能会识别出该块是空白的，因此它不需要实际从 NAND 闪存读取任何实际数据。它很可能只是返回一个归零数据块。

也就是说，简单地清空垃圾桶可能会也可能不会立即使数据无法恢复，因为大多数现代操作系统似乎都按计划运行 TRIM，我不了解 MacOS，但 Windows 和 Linux 通常按每周计划运行它。Ask Different 上有一个答案，指出 MacOS 在每次启动时都会运行 TRIM，因此如果您每晚关闭计算机，您可能会失去第二天早上恢复的可能性。或者，文件系统还可以在每次文件删除后直接发出 TRIM 命令，这意味着清空垃圾箱后该文件将无法恢复。

对于任何类型的数据恢复来说，一个月可能都太长了。如果操作系统未使用 TRIM，则数据可能已被覆盖并且无法恢复。如果操作系统确实使用 TRIM，那么当操作系统告诉驱动器回收数据块时，数据可能无法恢复。

您仍然可以看到文件名和大小的原因是，如上所述，这种元数据是由文件系统本身处理的，并且目录中的文件列表可能会保存在一起。目录最容易被认为是包含其他文件列表的特殊文件，并且通过简单地向其中附加新项目来最容易处理该文件。当文件被删除时，该条目会被标记为“已删除”，但该文件的元数据可能在一段时间内不会被完全删除或覆盖。更改目录“文件”中的一两个字节（以标记为已删除）并将其写回比读入要快得多，将整个数据块打乱以删除现在已删除的文件，然后将其写回，尤其是在删除很多文件。当性能更重要时，像这样的延迟编辑在文件系统中非常常见，并且当实际文件数据很久以前丢失时，会给人一种数据可能可以恢复的错误印象。