2026-10-04 · 约 5 分钟
删除和格式化只是把空间标记为「可用」，数据本身还没被覆盖。此刻最重要的不是装恢复软件，而是停止一切写入：别存新文件、别装软件、别继续用这个盘。
文件系统删除文件，只是删掉了目录索引，数据块仍在磁盘上。只要没被新数据覆盖，逻辑恢复（重建目录、扫描签名）就能把文件找回来。覆盖越多，恢复率越低。
自己用软件扫描，风险是软件会往原盘写入，可能覆盖目标数据。专业做法是先对原盘做只读镜像，所有恢复操作在镜像上进行，原盘绝不写入：这也是正规机构与免费软件的差距。
送来的盘上往往有大量无关内容，先列出真正需要的目录、文件类型和时间范围，能明显缩短提取过程；扫描结果不理想时，也能优先保住关键部分。
把需求写清楚，比笼统地说「整个盘都要」有用得多。目录结构完整的盘可以按原路径导出，需求明确时工程师还能顺带核对数量与层级是否对得上。
逻辑恢复偶尔会列出文件名却打不开，常见原因是文件在盘上不连续、部分数据块已被新内容占用，或记录碎片位置的索引被破坏。残缺部分要靠文件头尾特征重新拼接。
能不能补全取决于被占用的比例，这一步只能如实报告，不能先给结论。能打开的优先交付，残缺的单独列出并说明原因，方便判断是否还要继续投入时间。
能，前提是格式化后没有大量写入。快速格式化的数据基本完整，只要没有大量写入，逻辑恢复往往能取回大部分。关键是停止写入、先镜像再恢复。
立刻停止使用该盘，不要写入任何数据，然后送专业逻辑恢复（只读镜像 + 目录重建）。自己用软件扫要小心别写入原盘。
误删/格式化类逻辑恢复 300-800 元，视容量和复杂度而定。到店免费检测，先判断数据是否被覆盖，再报价。
取决于目录结构还能不能重建。目录项完整的，文件名和层级可以照原样还原；目录项被破坏时只能按文件类型扫描，名称会丢失或变成编号，内容本身通常不受影响。
有必要。装系统会往盘上写进不少内容，但不一定把整块盘占满，未被占用的区域仍可能找到文件碎片。是否值得投入，由检测先读一遍看残留量再判断。
"删除"和"格式化"在底层是两件事：删除通常只改一个标记位，格式化会重写元数据区。 理解这一点，就能自己判断某个场景有没有恢复空间。
| 项目 | 取值 / 位置 | 说明 |
|---|---|---|
| NTFS 删除 | MFT 记录标为未使用，$DATA 的 runlist 常保留 | 记录未被复用时，可按 MFT 直接导出 |
| NTFS 快速格式化 | 重写 MFT 关键区域与位图 | 目录树没了，数据区通常还在 |
| FAT/exFAT 删除 | 目录项首字节改为 0xE5 或高位翻转 | 文件名与首簇号多数还在 |
| ext4 删除 | inode 链接数清零，块位图标记空闲 | extent 还在时可按 inode 号恢复 |
| SSD 上的 TRIM | 删除后控制器可能立即擦除该页 | 开了 TRIM，删除恢复窗口极短 |
# NTFS：列出已删除项（-d），保留 inode 号
fls -d -p /cases/ntfs.dd | head -30
# ext4：查看已删除 inode（lsdel 在 ext3 上更有效，ext4 常需按 extent 反查）
debugfs -R "lsdel" /cases/ext4.img | head
# exFAT/FAT：看目录项首字节是否被改
xxd -s 0 -l 512 /cases/usb.img | head -8实践结论：机械盘上"误删"的恢复窗口以"有没有新写入"为准，而不是以时间长短为准； SSD 上开了 TRIM 之后，删除即擦除，窗口可能只有秒级。这也是为什么第一动作永远是 "停止使用、做整盘镜像"，而不是"先装个软件扫一下"。
参数判定、镜像方案、固件损坏这类问题，聊清楚不收钱；需要现场检测、书面报价或上门，统一走 项目1 服务页（到店免费检测，出报告后报价，不出结果不收费）。
18620311365
深圳市福田区深南中路2070号电子科技大厦A座35楼D22（华强北地铁站D1口步行320米）