多媒体时间元数据
图片、视频与文档内部嵌有 EXIF、QuickTime、XMP 等元数据，常包含拍摄时间、设备型号与 GPS 信息，是判断素材来源的第一手材料。它与文件系统时间的差别尤为有用：内嵌时间属于内容，文件时间属于容器属性，两者背离常指向拷贝或改写。
基本信息
| 工具 | ExifTool（跨平台命令行） |
|---|---|
| 关键时间标签 | DateTimeOriginal、CreateDate、ModifyDate、GPSDateTime |
| 视频注意点 | QuickTime 系列标签的 UTC 语义需按工具版本处理 |
| 对照对象 | 文件 mtime、ctime 与 crtime |
| 常见失效 | 元数据可被编辑软件重写，或被社交平台剥离 |
| 设备标签 | Model、SerialNumber、Software、GPSLatitude/GPSLongitude |
典型使用场景
- 确认照片与视频的实际拍摄时刻
- 提取设备型号与序列号辅助归属判断
- 用 GPS 信息反查拍摄地点
- 比对内嵌时间与文件时间，识别拷贝与涂改
- 处理网络下载素材时评估元数据是否已被剥离
最小示例
最小示例
exiftool -time:all -s photo.jpg # 列出全部时间字段
exiftool -api QuickTimeUTC -time:all -s clip.mov # 视频时间按 UTC 解释
exiftool -Model -SerialNumber -s photo.jpg # 设备信息
exiftool -GPSLatitude -GPSLongitude -s photo.jpg # 位置信息
exiftool -G1 -a -s photo.jpg | head -30 # 带来源组名查看全部标签
stat -c '%n mtime=%y ctime=%z' photo.jpg # 文件系统侧时间对照字段与解读
| 字段 | 含义 | 异常信号 |
|---|---|---|
| DateTimeOriginal | 快门按下时刻 | 与文件 mtime 差距过大 |
| CreateDate | 内容侧创建时间 | 晚于 DateTimeOriginal |
| ModifyDate | 内容最后修改时间 | 被编辑或转存工具更新 |
| GPSDateTime | 带 GPS 的时间戳 | 时区缺失或与本地时间不符 |
| Model | 拍摄设备型号 | 与案情描述的设备不一致 |
| 组名（G1） | 标签来源组 | EXIF 与 XMP 同名标签取值不同 |
编辑或转存会同时写入 EXIF 与 XMP，两处可能给出不同时间；报告中要写明采用哪一个以及依据。
社交平台与即时通讯下载的素材通常已被剥离元数据，缺少 GPS 或原始拍摄时间不能作为素材伪造的证据。
QuickTime 系列标签的 UTC 处理依赖 ExifTool 版本；遇到视频时间与预期相差整小时数时，先确认所用版本的解释方式再下结论。