误删文件后应立即停止写入操作，优先尝试使用extundelete恢复ext3/4文件；2. 可通过debugfs查找已删除inode并导出数据；3. photorec支持多文件系统深度扫描，适用于复杂恢复场景；4. 若文件仍被进程占用，可用lsof定位并从/proc/PID/fd复制句柄内容。
如果您在操作Linux系统时误用了rm命令删除了重要文件，系统不会像回收站那样保留已删除的文件，因此需要立即采取措施尝试恢复。由于文件系统在删除文件后通常只是标记inode为可用，并未立即覆盖数据，因此在数据被覆盖前仍有可能恢复。
本文运行环境：Dell XPS 13，Ubuntu 22.04
一、使用extundelete工具恢复ext3/ext4文件
extundelete是一个专门用于恢复ext3和ext4文件系统中已删除文件的开源工具，它通过读取文件系统的journal日志来还原被rm删除的文件。
1、打开终端，安装extundelete工具：sudo apt install extundelete。
2、确认被删除文件所在的分区，通常为根分区/dev/sda1或home分区，可通过df -h查看挂载点。
3、执行恢复命令：sudo extundelete /dev/sda1 --restore-all，其中/dev/sda1替换为实际分区。
4、恢复的文件将保存在当前目录下的RECOVERED_FILES文件夹中，请及时转移。
二、利用debugfs从ext文件系统中提取数据
debugfs是ext2/3/4文件系统的调试工具，可以手动查找并导出已被删除但尚未被覆盖的inode数据。
1、以只读方式挂载目标分区，避免写入新数据：sudo mount -o remount,ro /。
2、启动debugfs并进入交互模式：sudo debugfs /dev/sda1。
3、在debugfs提示符下输入lsdel命令，列出所有可恢复的已删除inode。
4、找到目标文件的inode号后，使用命令dump
5、完成操作后键入quit退出debugfs。
三、使用photorec进行深度数据恢复
photorec是TestDisk套件的一部分，支持多种文件系统和文件类型，通过扫描磁盘原始数据块来恢复丢失的文件，适用于ext、NTFS、FAT等格式。
1、安装testdisk包：sudo apt install testdisk。
2、运行photorec：sudo photorec，进入图形化文本界面。
3、选择要扫描的磁盘和分区，注意不要选错设备。
4、选择文件系统类型（若不确定可选“其他”），然后选择“自由空间扫描”或“整个分区扫描”。
5、指定输出目录（必须位于其他磁盘或分区），开始扫描并恢复匹配的文件。
6、恢复完成后检查输出目录中的文件内容是否完整。
四、通过lsof找回仍被进程占用的已删文件
如果被rm删除的文件仍被某个进程打开，其文件内容依然保留在内存中，可以通过lsof查出句柄并重新导出。
1、立即执行lsof | grep deleted，查找处于deleted状态但仍被打开的文件。
2、记录对应进程PID和文件描述符（如fd 3r）。
3、进入/proc/PID/fd目录，例如：cd /proc/1234/fd。
4、使用cp或dd命令复制文件描述符指向的内容到安全位置：cp 3 /recovery/recovered_file。
5、通知相关进程关闭句柄或重启服务以释放资源。
