srm不是Linux原生命令，需先安装secure-delete工具集：Debian/Ubuntu用sudo apt install secure-delete，RHEL/CentOS/Fedora用sudo yum install secure-delete或sudo dnf install secure-delete，Arch用sudo pacman -S secure-delete；安装后可用srm -v安全删除文件，默认3次随机覆写加1次零填充。
Linux 中 srm 不是原生命令，得先装 secure-delete 工具集
srm 命令在标准 Linux 发行版里并不存在，它属于 secure-delete 工具包。直接运行 srm 会报错 command not found。必须先安装对应包，且不同发行版命令不同：
- Debian/Ubuntu 系统：
sudo apt install secure-delete - RHEL/CentOS/Fedora 系统：
sudo yum install secure-delete或sudo dnf install secure-delete - Arch Linux：
sudo pacman -S secure-delete
装完后才能用 srm。注意：secure-delete 包含多个工具（srm、sfill、sdelete、sswap），但日常只用到 srm。
srm 默认就是多次随机覆写，不用额外加参数
srm 的设计目标就是安全删除，它默认采用 3 次随机数据覆写 + 1 次零填充（共 4 轮），符合早期 DoD 5220.22-M 标准的简化实践。你不需要手动指定“多次随机”，只要执行：
srm -v filename.txt
其中 -v 是推荐加的，能实时看到每轮覆写进度。不加也能删，但你无法确认是否真在覆写。
如果你确实想改覆写次数（比如要满足内部审计要求）：
-
srm -v -n 7 filename.txt→ 执行 7 轮随机覆写（不含最后零填充） -
srm -v -z filename.txt→ 强制末尾再加一次零填充（默认已有，加了也不报错，但冗余） -
srm -v -f filename.txt→ 强制覆盖只读文件（如权限为chmod 400的密钥文件）
srm 对 ext4/Btrfs 等现代文件系统有局限，别对 SSD 盲目信任
srm 的覆写逻辑基于传统 HDD 的扇区寻址模型，但它无法绕过现代文件系统的特性：
Linux Security Scanner
下载
Linux 安全审计工具，检查 SSH 配置、开放/监听端口、防火墙规则（ufw/iptables/nftables）、失败登录尝试、sudoers 权限...
- ext4 的日志（journal）可能缓存原始数据副本，
srm不处理这部分 - Btrfs/ZFS 的写时复制（CoW）机制会让旧数据块实际未被覆盖，只是“不再被引用”
- SSD 的磨损均衡（wear leveling）和 TRIM 行为会导致覆写写入物理位置不可控，
srm覆写的可能是另一组闪存单元，原数据块依然残留
所以，在 SSD 上用 srm 删除单个文件，安全性远低于预期。真正可行的方案是：全盘加密（LUKS）+ 安全擦除密钥，或使用 blkdiscard --secure（需 SSD 支持 IEEE 1667）。
目录递归删除要加 -r，但要注意符号链接和硬链接陷阱
srm 删除目录必须显式加 -r 参数，否则报错：
srm -rv my_private_dir/
但要注意两个坑：
- 符号链接（symlink）会被当作普通文件删除，其指向的目标不受影响
- 硬链接（hard link）指向同一 inode，
srm只删掉当前路径名，其他硬链接仍可访问原数据——必须把所有硬链接路径都跑一遍srm - 如果目录里有挂载点（如
/mnt/usb），srm -r默认不会跨挂载点递归，这是安全行为，但容易误以为“删干净了”
真正要删整个敏感目录树，建议先用 find 配合 -xdev 确认范围，再批量送入 srm。
最常被忽略的一点：srm 不能恢复已删内容，但也不能替代全盘加密。它解决的是“删后防恢复”，不是“存时防泄露”。密钥、证书、数据库导出文件这类东西，从诞生起就该在加密卷里操作，而不是等删的时候才补救。
