std::filesystem::remove 不是安全擦除，仅删除目录项并标记空间可复用，原始数据可能因ssd磨损均衡、hdd缓存、文件系统日志或trim延迟而残留；需用低层api配合多次覆写、flush()与fsync()/_commit()强制落盘才能实现有效擦除。
为什么 std::filesystem::remove 不能算“安全擦除”
它只是删掉文件目录项、标记磁盘空间为“可复用”，原始数据块可能在 SSD 的磨损均衡、HDD 的磁道缓存、文件系统日志（如 ext4 journal）甚至 TRIM 延迟执行中长期残留。攻击者用 photorec 或直接读裸设备仍可能恢复明文密码。
用 std::ofstream 打开 std::ios::out | std::ios::binary 后覆写的关键细节
必须绕过缓冲和缓存，确保每次写入都落盘；否则覆写只发生在内存或页缓存里，remove 后数据照旧残留。
- 打开时加
std::ios::ate定位到末尾，再用seekp(0)回头——避免因文件长度变化导致部分区域未覆写 - 每轮写入后调用
flush()，再调用fsync()（Linux/macOS）或_commit()（Windows）强制刷盘 - 覆写次数按标准选 3–7 次即可，
DoD 5220.22-M推荐 3 遍随机 + 1 遍全 0，但现代 SSD 上物理覆写意义有限，重点是让逻辑块映射失效 - 注意：SSD 可能因
TRIM提前释放块，反而加速残留——所以覆写前最好禁用自动 TRIM（如 Linux 的mount -o discard关闭）
跨平台强制刷盘的正确写法
不能只靠 flush()，C++ 标准库不暴露底层文件描述符，得用 fileno() 桥接：
#ifdef _WIN32 #include <io.h> _commit(_fileno(file.rdbuf()->pubsync())); #else #include <unistd.h> #include <fcntl.h> fsync(fileno(file.rdbuf()->pubsync())); #endif </fcntl.h></unistd.h></io.h>
注意：pubsync() 是获取 FILE* 的非标准但广泛支持的方式；若编译报错，改用 file.close(); file.open(..., std::ios::in | std::ios::out | std::ios::binary) 重开并获取底层句柄。
更可靠的替代：直接用系统 API 绕过 C++ 流缓冲
对敏感文件，推荐放弃 std::ofstream，改用低层接口：
- Linux：用
open(..., O_RDWR)+write()+fsync()+unlink() - Windows：用
CreateFile(..., GENERIC_WRITE, 0, ..., OPEN_EXISTING)+WriteFile()+FlushFileBuffers()+DeleteFile() - 关键点：覆写前用
stat()/GetFileSizeEx()获取真实字节长度，避免因稀疏文件或元数据导致跳过实际数据区
真正难的不是写几遍随机数，而是确认那几遍确实写进了物理介质——尤其在启用写缓存的硬盘、带 DRAM 缓存的 NVMe 盘、或开启 barrier=0 的 ext4 文件系统上，漏一次 fsync 就前功尽弃。
C++免费学习笔记（深入）：立即使用
在学习笔记中，你将探索 C++ 的入门与实战技巧！
