关于使用AIDE查看文件变更差异的技术咨询

嗨，很高兴能帮你解决这个AIDE的使用问题！其实AIDE完全支持查看文件的具体变更差异，不止是对比SHA256哈希值，下面给你几个实用的方法：

• 让AIDE直接生成带diff的检测报告
  默认情况下，aide --check的输出只会显示文件变更的基本信息，但你可以通过修改配置开启详细差异展示：

  1. 打开AIDE的主配置文件（通常是/etc/aide.conf），确保添加或启用这两项配置：
     • Diff = yes：开启文本文件的差异对比功能
     • Verbose = 5：调高日志级别，让报告包含更细节的变更内容
  2. 保存配置后，如果是首次配置或者需要更新数据库，先运行aide --init生成新的数据库，之后再执行aide --check，此时报告会直接显示文本文件里具体的行变更内容。

• 配置邮件通知包含完整diff内容
  默认邮件只发哈希摘要，是因为没把完整报告传过去。你可以写个简单的脚本，把AIDE的完整检测结果（包括diff）发送到邮箱：

  #!/bin/bash
  # 运行AIDE检测并捕获输出
  AIDE_FULL_REPORT=$(aide --check)
  # 发送邮件，把你的邮箱替换成实际地址
  echo "$AIDE_FULL_REPORT" | mail -s "AIDE 系统文件变更完整报告" your-email@example.com
  

  给脚本加执行权限：chmod +x /path/to/your-aide-script.sh，然后用cron定时任务定期运行它，就能收到带diff的邮件通知了。

• 结合系统diff命令手动对比
  如果AIDE自带的diff不够用，你可以手动用diff工具对比。AIDE的报告会告诉你变更文件的路径，你可以先把AIDE数据库导出成文本格式：aide --dump /var/lib/aide/aide.db.gz > aide-dump.txt，从导出的内容里找到对应文件的备份信息（如果配置了保存文件内容的话），或者把备份文件提取出来，再用diff current-file.txt backup-file.txt查看具体差异。

这样你就能轻松看到文件的具体变更，而不只是冰冷的哈希值啦！

备注：内容来源于stack exchange，提问作者vanishedd