打包同时保留元数据与清单
在线采集到的日志、配置与目录结构要打包转移，打包过程本身会影响证据：默认的 tar 可能丢失扩展属性与属主信息，也可能因为不加 -p 而让权限位随采集时身份变化。正确做法是同时保留权限、时间戳与扩展属性，并在打包完成后立即生成文件清单与哈希，让后续校验与来源追溯都有依据。
打包前先确定范围
直接对整个 /var/log 打包很容易混进体积巨大且无关的文件，也不利于清单核对。打包前先把纳入范围的文件列出来，确认没有遗漏关键目录、也没有多余内容，再执行打包。清单与哈希应当与压缩包分开保存，避免同时损坏。
基本信息
| 适用平台 | Linux/Unix（GNU tar、sha256sum） |
|---|---|
| 保留元数据 | tar --xattrs -cpzf 保留权限、时间戳与扩展属性 |
| 归属处理 | --numeric-owner 以数字方式记录属主与属组 |
| 清单与校验 | tar -tvf 查内容，sha256sum 生成哈希 |
| 命名建议 | 包含主机名与时间，便于区分批次 |
典型使用场景
- 在线采集日志与配置：打包后转移到分析环境
- 多主机批量采集：统一命名与清单格式便于汇总
- 证据移交：压缩包与哈希清单一并移交并双方签字
- 复现验证：按清单核对包内文件与设备上的原始内容
- 长期归档：压缩包与清单分开存放，降低同时损坏风险
打包、清单与校验
打包、清单与校验
# 先列出将纳入范围的文件，确认无遗漏与多余
find /var/log /etc/ssh -xdev -type f | head -20
# 打包：保留扩展属性与数字属主，压缩输出
OUT=/mnt/ev/logs_$(hostname)_$(date +%Y%m%d%H%M).tar.gz
tar --xattrs --numeric-owner -cpzf "$OUT" /var/log /etc/ssh
# 立即生成哈希清单与内容清单
sha256sum "$OUT" | tee "$OUT.sha256"
tar -tvf "$OUT" > "$OUT.list"
wc -l "$OUT.list"打包参数读法
| 参数 | 作用 | 不加会怎样 |
|---|---|---|
| --xattrs | 保存扩展属性 | 能力位等信息丢失 |
| -p | 保留权限位 | 权限按采集者身份重算 |
| --numeric-owner | 记录数字属主 | 目标环境无同名账号时归属歧义 |
| -z | gzip 压缩 | 体积大，传输慢 |
| -C | 指定起始目录 | 包内路径层级过深，不便解包核对 |
打包动作本身会更新访问时间，对时间戳敏感的目录要提前评估；如果 atime 是重要证据，应在采集前记录挂载选项并说明打包带来的影响。
压缩包解包时不要直接覆盖原始目录：解到独立目录再比对清单，避免把采集结果与现场内容混在一起。