停止写入：为什么它最重要

整本书如果只能记住一句话，就是这句：数据丢失后，立刻停止一切写入操作。这条原则听上去简单得像废话，但它是所有恢复操作的地基。理解它，需要先搞懂硬盘存取数据的方式。

删除并没有真的删掉

把硬盘想象成一本巨型笔记本，每个文件是里面的一篇文章，前面附有一张目录卡片。系统找文件时，先查目录卡片，再翻到对应页码读取内容。

删除文件时，系统做了什么？它只是把目录卡片撕了，在页码旁边标注"这页以后可以写新内容"。文章本身一个字都没动，还在那里。所以"删除"在底层层面其实是"标记为可覆盖"。

这意味着什么？只要你不去写新内容，旧数据就一直安安静静躺在那里。恢复软件就是顺着这个原理，跳过目录直接扫描硬盘内容，把还能认出来的文件重新整理出来。

一旦有新数据写入，系统会优先占用被标记为空闲的空间。新字节啪啪一写，旧文件的那一页就被涂抹掉了，无法复原。这就是覆盖，数据恢复领域唯一真正的"死亡"。

可怕的地方在于，它完全是静默的，你感知不到。等到用软件扫描发现文件全是乱码、图片花屏一半的时候，已经晚了。

很多人以为只有"保存文件"才算写入，错。以下操作都会往硬盘写数据，危险程度从高到低：

所以正确做法是：发现丢数据的瞬间，断开网络（防止自动更新），停掉一切手动操作，能不关机就别关机。

如果丢的文件在 C 盘（macOS 是启动盘），事情更棘手。只要电脑开着，Windows 和 macOS 就在后台不停写日志、缓存、临时文件，你没法完全阻止。

应对办法有两个。第一个是直接关机，用另一台电脑制作启动 U 盘，从 U 盘启动来扫描硬盘，这是最干净的方案。第二个是立刻把恢复软件装到别的盘上（千万别装 C 盘），扫描出来的文件也保存到别的盘或者移动硬盘上，绝不能原地保存。

记住这条铁律：恢复出来的文件，永远不要写回丢失文件所在的分区，否则等于边救火边浇油。

固态硬盘有个 trim 机制，系统会主动告诉固态盘哪些块已经删除，让主控提前清空这些块以维持速度。开启 trim 之后，被删数据可能很快被真正擦除，恢复窗口比机械硬盘短得多。

这不意味着固态硬盘数据一定救不回来——很多场景下 trim 不会立即执行，或者异常导致它未生效。但确实意味着：固态硬盘用户对速度的要求更高，发现丢失的当下就行动，延迟一小时可能就是能救和不能救的差别。

把数据恢复想象成案发现场取证。删除是嫌疑人抹掉了指纹登记表，但指纹本身还在桌上。而你继续使用电脑，就像不断有新的人进屋擦桌子、摆新东西——碰巧擦掉的区域，证据就永远没了。你能做的，是第一时间拉起警戒线，让所有人离场。

如果看到这里你正坐在出事的电脑前，按下面顺序操作：

做到这四点，你已经把成功率的下限抬到了及格线以上。