前天晚上十一点四十，老周给我发来一张截图。
图是他 2019 年在青海拍的盐湖。右下角的水印被裁掉了，色阶断层在湖面出现了一道白边。
他说，动了三次。最后一次，原图没了。
我让他把原始文件都发过来。一共十一个。三个是压缩过的，四个是他自己调色后导出的，剩下四个打不开。
其中一个文件名是 IMG_20190812_1847。只有 2.7MB。
真正的原图，应该是 24MB 左右。
先做的事，不是恢复
我先停下所有操作。
老周那边，还在往硬盘里覆盖。我说，拔掉。
正版图片恢复的第一步，不是找工具，是先让介质安静下来。写一个字节，都可能盖掉一段还没被发现的原始数据。
这一步，很多人直接跳过。
接着是档案核对。
我打开 回九图库资料 里的旧档案记录，查到那张图的登记号：17-TK-2019-0812-A。
拍摄时间 2019 年 8 月 12 日，18:47。镜头焦距 24mm，光圈 f/11。原始文件 SHA-256 值我抄了下来，四十多个字符。
这一步很枯燥。但它决定了后面能不能判断——恢复出来的，到底是不是原来那一张。
两个工具，一条时间线
我用两台机器做镜像，都跑了同一套本地恢复流程。
第一台跑结构化扫描，找回被删除的文件簇。第二台只做只读挂载，比对索引表。
中间隔了一天。因为第一步跑出来的十七个候选，有三个是坏块。
到第二天下午三点，找回了两个 .CR2。其中一个，尺寸正好是 24.1MB。
我没有马上告诉老周。
先算哈希。命令行跑了不到两秒，屏幕上那串值，和档案里的四十多个字符，一位一位对上了。
对上的那一刻，我坐了一会儿。没动。
为什么非要较这个真
有人问我，一张照片而已，找回来不就行了，搞什么哈希。
我的观点是：正版恢复和碰巧找回，是两件事。
碰巧找回来的，可能是他调完色之后的版本，可能是被平台压过的版本，可能边界被裁过两像素。
这些差异，肉眼在手机上看不出来。但一旦要拿去印、拿去授权、拿去做证据，它就是废的。
昨天晚上，原图重新写进一块新的移动硬盘。我把三份备份分别寄存在两个物理位置。
老周在电话里说了一句：原来真能这么还原。
我说，能。就是慢。
过程里踩的坑，留给下次
第一坑：他在微信里转存过一次。那次压缩，把 EXIF 里的拍摄参数几乎全抹了。
第二坑：他以为把文件放进"最近删除"里就是安全的。其实回收站也是一个会被覆写的位置。
第三坑最麻烦——他自己用某工具"修复"过，结果改动了文件头。
文件头一变，正常扫描工具就直接放弃了。
所以你看，恢复的对手，很少是硬盘。多半是操作的人。
包括我。如果我在第一天晚上就急着写入，这张图现在也回不来。
写到这，顺手把这次流程整理成了一份清单，放进 四九图库资料中心网站 的存档区。下次再遇到同类情况，直接对照着走。
档案记录里另外还提到了相机的固件版本和时间戳偏移。这两点下次单独写一篇。
手边最近的参考，是 怎么下载49图库app下载安装 那篇里整理的客户端校验清单，思路可以借用。
另外 49图库资料库免费打开49图库app苹果版优化版 里有一段关于索引重建的说明，处理文件簇冲突时用得上。
这次的比对工具，参数是照 新版49图库 里的模板改的。只读挂载这一条，帮了大忙。
最后归档的时候，我把备份方案和 下载49图库并安装到桌面 里写的本地策略做了统一。以后两边口径一致。
如果只是想先翻翻旧例，可以从 查看图库 进去，按拍摄年份排。