跳转列表记录了什么
跳转列表（Jump Lists）是任务栏与开始菜单右键菜单背后的数据，保留某个应用最近打开的文件、常用目标与固定项。自动跳转列表存放在用户配置目录的 AutomaticDestinations 下，文件名是应用的 AppID；自定义跳转列表在同级的 CustomDestinations 下。它能证明“该用户用这个应用打开过这个文件”，并提供路径与时间信息，对还原文档访问行为很有价值，尤其是文件已被删除或移动时。
基本信息
| 适用平台 | Windows 7 及以上 |
|---|---|
| 位置 | %APPDATA%\Microsoft\Windows\Recent\AutomaticDestinations 与 CustomDestinations |
| 文件格式 | 复合文档结构（含 DestList 流记录顺序与时间） |
| 关键内容 | 目标路径、卷信息、打开时间、应用 AppID |
| 解析工具 | JLECmd 等；AppID 与应用名的映射可用工具内置清单辅助判断 |
典型使用场景
- 证明某用户使用某程序打开过某文件，即使用户否认
- 还原文档访问时间，与文件系统时间、云同步记录交叉验证
- 发现从可移动介质打开文件的记录，辅助判断数据外带
- 识别不常见应用的跳转列表，例如压缩工具、脚本编辑器与远程工具
- 在文件已被删除的场景下，用残留条目证明存在过该文件路径
解析与查看
解析与查看
# 全量解析某用户的跳转列表目录，导出 CSV
JLECmd.exe -d /case/users/user/AppData/Roaming/Microsoft/Windows/Recent --csv out/
# 关注目标路径（含可移动介质盘符与网络路径）
grep -i -E '\\\\|E:\\\\|\\\\\\\\.*\\\\' out/JumpLists.csv | head -20
# 记录 AppID 与出现次数，找出不常见应用
awk -F, '{print $1}' out/JumpLists.csv | sort | uniq -c | sort -rn | head -15
# 解析结果与用户目录下的 LNK 文件互相印证要素读法
| 要素 | 含义 | 判读要点 |
|---|---|---|
| 目标路径 | 被打开的文件位置 | 网络路径与可移动介质路径需重点关注 |
| 打开时间 | 条目记录的时间 | 与文件系统时间交叉验证 |
| AppID | 对应应用标识 | 不常见应用的条目需要确认用途 |
| 条目顺序 | DestList 中的排列 | 通常按最近使用排序，可辅助判断先后 |
| 固定项 | 用户手动固定的目标 | 说明该文件对用户有持续意义 |
跳转列表条目可被用户或清理工具清除，缺失不能反证没有访问过；同时软件版本差异会影响解析结果，遇到无法解析的条目要记录并说明。
跳转列表与用户目录下的 LNK 文件、Shellbags 可以互相印证，三者结合能把“打开过哪个文件、浏览过哪个目录”说得更完整。