误删/var/log后，应立即停写对应ext4分区并卸载，用extundelete恢复核心日志；若失败，则用photorec底层扫描文本特征日志。
麒麟系统误清空/var/log目录后，日志文件虽从目录树消失，但原始数据块仍保留在磁盘扇区中，只要该分区未发生新写入，就可通过解析ext4文件系统残留inode与目录项重建日志结构；关键前提是立即停止向根分区或/var所在分区写入任何数据，否则syslog、kern.log等文件占用的数据块会被覆盖，恢复将失败。
确认/var/log所在分区并立即停写
在终端执行 df -T /var/log，查看挂载点对应的设备名（如 /dev/sda2）和文件系统类型（必须为ext4）。若输出显示 Mounted on 为 /，说明日志位于根分区，此时【必须立刻关闭所有非必要进程，尤其是rsyslog、journald、桌面环境服务】，避免日志守护进程自动创建新文件覆盖空闲块。
执行 sudo umount /dev/sda2 尝试卸载——这是后续使用 extundelete 的硬性前提。若提示 device is busy，运行 sudo lsof +D /var/log 查出占用进程，逐个 kill -9 终止后再重试卸载。
用extundelete恢复已删除的日志文件
extundelete 能精准识别 ext4 日志删除后的 inode 状态，优先恢复 syslog、kern.log、auth.log 等核心文本日志，保留原始时间戳与行结构。
第一步：安装依赖并验证工具可用性
执行 sudo apt install e2fsprogs 确保 e2fsprogs 套件就绪；再运行 extundelete --version 确认命令可调用。
第二步：扫描并列出可恢复日志条目
执行 sudo extundelete /dev/sda2 --inode 2 进入根目录 inode，观察输出中是否包含 syslog、kern.log 等文件名及其 inode 编号；若存在，说明元数据尚未被复用，恢复成功率高。
第三步：定向恢复关键日志文件
逐个执行恢复命令，例如：sudo extundelete /dev/sda2 --restore-file "var/log/syslog"sudo extundelete /dev/sda2 --restore-file "var/log/kern.log"
恢复结果默认存入当前目录的 RECOVERED_FILES 文件夹，注意路径必须写相对路径（不含开头斜杠）。
用photorec进行底层签名扫描（无文件系统依赖）
当 extundelete 扫描无结果、或 /var/log 所在分区已部分覆写时，photorec 可绕过目录结构，直接扫描磁盘扇区中符合文本日志特征（如以 Oct 1 02:30:15 开头、含 kernel: 或 systemd[1]: 字样）的数据块。
方法一：终端启动扫描
执行 sudo photorec → 使用方向键选择物理磁盘（如 /dev/sda，不是分区）→ 在分区列表中选中 Linux 类型分区（对应 /dev/sda2）→ 按 Proceed → 文件系统类型选 Other（跳过 ext4 解析）→ 设置输出目录为另一块已挂载磁盘（如 /mnt/usb/output）→ 按 C 启动扫描。
方法二：过滤识别日志类文件
扫描完成后进入 output 目录，执行 file * | grep -i "text\|ASCII" 筛选出纯文本文件；再用 head -n 5 filename 查看前几行，确认是否含 syslog 时间戳格式或内核日志关键字；对匹配项重命名为 syslog_recovered_1、kern_log_recovered_2 等便于识别的名称。
