dmtrKovalenko/ffs 来源：https://github.com/dmtrKovalenko/ffs # FFS - 见鬼的文件系统

这是一个用于搜索文件的命令行工具（类似 grep），但它不通过操作系统内核来读取文件，而是直接读取你的磁盘。它实际上没什么用，但酷得要命。

这仅仅约 1500 行 C 代码，它：

• 仅在读取原始设备节点（例如 /dev/rdisk*）时需要 sudo；搜索镜像文件不需要提权
• 需要在 macOS 主磁盘上运行时关闭 SIP 保护
• 可能会遗漏一些最近写入的文件（需要手动调用 sync）
• 在高度动态的文件系统中，当其他系统组件正在写入文件时，可能无法正确搜索目录树
• 仅支持本项目手动实现的文件系统
• 同时，直接从你的磁盘块读取数据
• 绕过 VFS / 带缓存的 read() 路径，直接通过 pread 读取块设备
• 相比于 ripgrep，文件越多，渐进式地更快
• 可以搜索未挂载的卷
• 只解析二进制数据块
• 检测并跳过二进制文件
• 通过 openmp 将负载分散到所有核心上

在 Linux 上支持的文件系统

基本上，在 Linux 上实现任何文件系统都比较容易

Ext4 ./fs/ext4.c

这是最容易支持的文件系统：它是一个原地写入（无写时复制）的日志文件系统，因此大部分时候它是 ffs 的最佳选择。有时你可能会发现 ffs 看不到某些最近的文件更新，这可能是因为内核将最近的更新保存在缓存中，延迟写入磁盘。你可以通过 sync 命令强制同步

Btrfs ./fs/btrfs.c

B-树文件系统要复杂得多，是一种更高效的存储方式，并且带来额外的限制：当文件系统上的任何文件更新时，整个超级块也需要更新。这意味着如果 ffs 读取了超级块（高级 B-树），之后内核更新了树——整个读取就失效了。可以通过 fsfreeze（https://man7.org/linux/man-pages/man8/fsfreeze.8.html）或者创建一个独立的分离卷来绕过

Apfs (MacOS) ./fs/apfs.c

APFS 是苹果实现的专有文件系统，已被逆向工程并在此得到支持，但苹果显著加强了安全策略。你无法在不关闭 SIP 的情况下在主磁盘上运行 ffs SIP（系统完整性保护）是一项特殊的安全功能，即使是 root 用户也禁止访问主磁盘的超级块。即使使用 sudo 也无法绕过；你必须禁用此功能（如果你使用像 yabai 这样的项目，可能已经禁用了）。有一种方法可以在不接触主磁盘的情况下测试 ffs：你可以直接搜索原始 .dmg 文件，无需任何提权（没错，应用安装程序就是分离的卷）。使用 ffs，你无需挂载任何东西，只需提供卷的原始字节路径以及文件系统类型即可：

ffs "" /path/to/volume.dmg apfs

搜索分离卷

由于 ffs 直接读取字节，你可以用它搜索任何未挂载到文件系统的分离卷。例如，读取 .iso 或 .dmg 文件。

速度

这是最有趣的部分——ffs 无法访问 VFS / 内核文件系统缓存。因此在较小（或已被缓存）的目录上它会较慢，但当缓存耗尽且内核不得不去读取实际的磁盘状态时，它会逐渐变快。为什么？正是为了证明在某个点上内核 VFS 成为一种开销。以下是在 btrfs 挂载驱动上对比 ffs 与 ripgrep 的搜索结果。请注意，ripgrep 使用更先进的 SIMD 匹配器和文件遍历器，而 ffs 只有约 1800 行 C 代码。

[repos — 631k 个文件]
ffs |#### | 5.505s
rg  |###  | 4.813s

[dev — 1.50M 个文件]
ffs |############ | 18.413s
rg  |################# | 25.673s

[home — 3.25M 个文件]
ffs |######################## | 36.205s
rg  |##################################################| 74.690s

ripgrep 使用的标志是 -F --no-heading -H -n --no-ignore --hidden --one-file-system --no-messages —— 这样它与 ffs 输出相同的结果。

构建项目

编译项目需要 libzstd（用于 btrfs）、openmp（在 pkg-config 中），然后只需：

make ffs
ffs --help