如何创建指向已打开inode的硬链接？ext3误删打开文件能否恢复不可见副本？

让我来逐个解答你的问题：

要创建指向已打开inode的硬链接，核心是借助Linux的/proc文件系统——它会为每个运行中的进程维护/proc/<PID>/fd/目录，里面的条目都是指向进程当前打开文件的符号链接，直接对应目标inode。具体操作步骤如下：

• 第一步：定位持有该打开文件的进程ID（PID）。你可以用lsof命令搜索相关文件（哪怕文件已经被删除，lsof也能列出正在打开它的进程），比如：

  lsof | grep "你的文件名"
  

  输出结果里，第二列就是进程的PID，最后一列通常会标注(deleted)来表明文件已被删除但仍被打开。

• 第二步：找到对应文件的文件描述符（FD）。进入目标进程的fd目录查看：

  ls -l /proc/你的PID/fd/
  

  你会看到类似3 -> /原文件路径 (deleted)的条目，这里的3就是我们需要的文件描述符。

• 第三步：创建硬链接。直接对/proc/<PID>/fd/<FD>执行ln命令即可：

  ln /proc/你的PID/fd/你的FD /你想要的硬链接路径
  

  这样新创建的硬链接就和原来打开的文件指向同一个inode了。

⚠️ 注意：这个操作需要你拥有足够的权限（一般是进程所有者或root权限），而且必须在进程仍在运行、文件未被关闭的前提下进行。

答案是完全可以，操作逻辑和第一个问题一脉相承，核心还是利用/proc文件系统访问未被内核回收的inode。

为什么能恢复？ #

在ext3文件系统中，删除文件的动作仅仅是把文件的链接数减为0，并标记inode为待回收状态。但只要有进程还在打开这个inode，内核就不会真正释放对应的inode和数据块——这些资源会一直保留到进程关闭文件描述符为止。所以那个“不可见副本”其实一直都在磁盘上，只是没有目录项指向它而已。

具体恢复步骤： #

• 首先，用lsof找到打开该不可见副本的进程：

  lsof | grep "deleted"
  

  从输出里找到对应的PID和文件描述符（FD）。

• 接下来有两种恢复方式可选：

  • 直接复制文件内容：把/proc下的fd文件复制到新路径，这样就能得到当前状态的文件副本，如果后续进程还在写入，你可以等写入完成后再复制一次确保完整：

    cp /proc/你的PID/fd/你的FD /恢复后的文件路径
    

  • 创建硬链接：和第一个问题的操作一样，创建硬链接后，后续进程对原文件的写入会实时同步到这个硬链接里，直到进程关闭文件：

    ln /proc/你的PID/fd/你的FD /恢复后的硬链接路径
    

⚠️ 关键提醒：一旦打开该文件的进程关闭了文件描述符，内核会立即回收inode和数据块，到时候就再也无法恢复这个副本了，所以一定要赶在进程关闭文件前操作。

内容的提问来源于stack exchange，提问作者nponeccop