APFS 让“误删恢复”这件事比 HFS+ 时代更复杂，但也留下了更多线索：写时复制与快照会保留旧数据块。
关键结论（TL;DR）
先看结论，再看判定表与原理；不确定时先停手、先镜像。
| 现象 | 判据 | 可恢复性 | 下一步 |
|---|---|---|---|
| 刚删除文件 | 元数据释放，数据块可能未覆盖 | 有机会 | 立即停止写入，先做整盘镜像 |
| 有 Time Machine 本地快照 | 快照保留旧版本 | 较高 | 直接从快照挂载/恢复 |
| 文件保险箱加密卷 | 需卷密码 | 取决于密码 | 先确认密码或恢复密钥 |
| 磁盘工具“抹掉”后 | 容器重建，旧密钥可能销毁 | 机会下降 | 镜像后做底层签名扫描 |
APFS 采用写时复制：修改数据时不覆盖原块，而是写入新块并更新元数据。因此刚删除的文件，其数据块常常仍然完整，只是不再被目录引用。另一方面，APFS 的元数据是对象化的（B 树 + 对象映射），直接按目录结构解析比 HFS+ 困难，通常需要专用工具。
加密方面，APFS 卷可整体加密（文件保险箱），也可对单个文件加密；加密卷在没有密码时，底层扫描同样无效。
tmutil listlocalsnapshots 查看，直接从快照恢复文件最省事。APFS 的可恢复性取决于“数据块是否被覆盖/回收”与“卷是否加密且有密码”；快照是最高性价比的恢复来源。