假设 NTFS 的日志功能已启用,但我不希望将文件的某些更改记录添加到日志中。这可能吗?如果没有,是否有任何方法可以即使将与特定文件相关的更改添加到 USN 日志中,我也只能删除与该特定文件相关的记录?从我目前所读的内容来看,您可以使用碎片整理 API 或使用 fsutil 工具一次性删除整个日志,但不能使用单个记录。
任何帮助,将不胜感激。
假设 NTFS 的日志功能已启用,但我不希望将文件的某些更改记录添加到日志中。这可能吗?如果没有,是否有任何方法可以即使将与特定文件相关的更改添加到 USN 日志中,我也只能删除与该特定文件相关的记录?从我目前所读的内容来看,您可以使用碎片整理 API 或使用 fsutil 工具一次性删除整个日志,但不能使用单个记录。
任何帮助,将不胜感激。
这是真的。当日志存在时,您不能隐藏文件更改。而且您不能以常规方式删除单个 usn 记录。正如 Xearinox 指出的那样,操纵该数据的唯一方法是通过直接磁盘写入操作。
如果您对此感兴趣,这就是您想要阅读的内容:
关注您的 NTFS 驱动器:Windows 2000 变更日志解释
关注您的 NTFS 驱动器,第 II 部分:构建变更日志应用程序
简而言之:USN 期刊是一系列非碎片化的 USN 记录。更新序列号实际上只是一个偏移量。[1] 所以整个结构非常简单。
更改日志总是将新记录写入文件末尾,因此实现者选择使用记录的文件偏移量作为其 USN
来源:密切关注您的 NTFS 驱动器:Windows 2000 更改日志解释