| 关键选项 | ro 必选；建议 noexec、noatime |
|---|---|
| 镜像文件 | losetup -r 只读回环 |
| NTFS/XFS | 加 noload 禁止日志回放 |
| 检查 | mount 输出确认含 ro |
只读挂载物理盘与镜像
只读挂载物理盘与镜像
mkdir -p /mnt/evidence
mount -o ro,noload /dev/sdb1 /mnt/evidence # 物理盘（xfs 示例）
losetup -r /dev/loop0 /evidence/disk.img # 镜像：只读回环
mount -o ro,noatime /dev/loop0 /mnt/evidence
mount | grep evidence # 应显示 ro不要直接双击或读写挂载：一次日志回放就可能改写原盘日志区。