关于<filename>:Zone.Identifier:$DATA及VirtualBox虚拟机异常文件的技术问询

1. 什么是<filename>:Zone.Identifier:$DATA？ #

这是Windows系统里NTFS文件系统特有的替代数据流（Alternate Data Streams，ADS），简单来说就是给文件附加的一段隐藏元数据。它的作用是标记这个文件的来源区域——比如从互联网下载的文件，Windows会在这里记录ZoneId=3（代表互联网区域），这样系统的安全组件（比如Windows Defender、浏览器）就会识别这是外来文件，打开时弹出安全提示，防止恶意文件未经确认就运行。

默认情况下，这个数据流是隐藏的，你在Windows的文件资源管理器里看不到它，只有通过特定命令（比如dir /r）才能查看。它的体积通常很小，大多就是几十字节。

2. VirtualBox客户机里生成的26B文件是什么？为什么会生成？和SharedFolder有关吗？ #

那个26B的文件就是上面说的Zone.Identifier:$DATA，只不过因为你用了VirtualBox的共享文件夹，才变成了单独可见的文件——原因如下：

• 你的宿主机是Ubuntu，用的是ext4这类不支持NTFS替代数据流的文件系统；
• 当Windows客户机把带ADS标记的下载文件保存到共享文件夹时，VirtualBox没办法把这个隐藏数据流附加到原文件上（因为宿主机文件系统不支持），只能把它转换成一个单独的文件，名字就用<原文件名>:Zone.Identifier:$DATA，大小刚好就是那段元数据的大小（26B左右）。

所以结论是：这个文件确实和VirtualBox的SharedFolder直接相关，本质是Windows的文件来源标记，因为跨文件系统不兼容才变成了单独文件。

内容的提问来源于stack exchange，提问作者muclux