atime 由挂载选项决定
atime（访问时间）是否随读取更新，取决于该文件系统挂载时使用的选项，所以它能否作为「文件被打开过」的证据，要先看挂载参数。主流发行版默认使用 relatime：只有当 mtime 或 ctime 比当前 atime 更新、或者距离上次 atime 更新已超过约一天时才会写入，这意味着大量正常读取根本不会留下时间痕迹。
基本信息
| 适用平台 | Linux（ext4、xfs、btrfs 等均有对应挂载选项） |
|---|---|
| 查看方式 | findmnt -no OPTIONS /、mount、cat /proc/mounts |
| noatime | 读取完全不更新 atime，该字段不可作为读证据 |
| relatime | 仅在特定条件更新，多数发行版默认值 |
| strictatime | 每次读取都更新，可用于还原读取行为 |
| 容器场景 | 容器内看到的选项与宿主机可能不同，以实际挂载为准 |
典型使用场景
- 判断某份文档是否被人打开阅读过：先确认挂载选项再决定 atime 的权重
- 排除「文件被读取」的假设：noatime 环境下 atime 常年不变，不能据此否定访问
- 梳理工具或脚本被执行的痕迹：strictatime 环境下 atime 可补足 mtime 之外的信息
- 对比容器与宿主机的挂载差异：解释为什么同一文件在两处时间字段不同
- 写入报告的方法章节：说明时间字段的可信度来源，供复核者判断
查看挂载选项
查看挂载选项
findmnt -no TARGET,OPTIONS / # 只看根文件系统的挂载参数
mount | grep -E 'noatime|relatime|strictatime'
grep -E ' / | /data ' /proc/mounts | cut -d' ' -f2,4
stat -c '%n atime=%x mtime=%y ctime=%z' /path/to/file # 三个时间一起看挂载选项对取证的含义
| 选项 | 更新时机 | 在时间线中的用法 |
|---|---|---|
| noatime | 从不更新 | atime 无参考价值，不要用它推断访问 |
| relatime | 条件触发（默认） | 只能证明「某时刻之后被访问」这类弱结论 |
| strictatime | 每次读取 | 可作为读取行为的直接旁证 |
| nodiratime | 目录不更新 | 目录 atime 静止，不代表目录未被遍历 |
即便开启了 strictatime，atime 也只记录最后一次访问，无法给出访问次数；要还原多次读取需要文件系统日志或审计子系统配合。
取证采集过程本身会读取文件，可能刷新 atime。若 atime 是关键证据，挂载只读副本或使用 noatime 方式访问，并在报告中说明采集方式。