| 可改 | atime、mtime（touch、setfile 等） |
|---|---|
| 难改 | ctime、crtime（需改动文件系统结构） |
对比
对比
stat -c '%n mtime=%y ctime=%z' /usr/bin/* | awk '$0 ~ /mtime=.*ctime=/' | head
find /usr/local/bin -xdev -type f -newerct '2026-01-01' -printf '%p %TY-%Tm-%Td\n' | headmtime 早于 ctime 且差距明显时，要结合 bash 历史、auditd 与部署记录共同判断。