怎么查看linux recycle日志

在 Linux 里并没有像 Windows 那样的“回收站（Recycle Bin）日志”，所以“查看回收日志”要分几种情况来看。下面按常见场景给你说明：

一、如果你说的是「文件被删除了，想查是谁删的 / 什么时候删的」

1️⃣ 查看系统日志（取决于发行版）

Linux 删除文件本身不会自动记录日志，但可以通过以下方式查：

✅ systemd 系统（CentOS 7+/Ubuntu 16+）

journalctl

或者只看某天：

journalctl --since "2026-01-20"

✅ 传统 syslog

/var/log/messages
/var/log/syslog

⚠️ 普通 rm 不会写日志，除非有审计或特殊配置

二、如果你启用了「审计（audit）」

这是最靠谱的方法。

查看是否安装 audit

which auditd

监控某个目录（示例）

auditctl -w /data -p wa -k delete_monitor

查看删除日志

ausearch -k delete_monitor

示例输出会包含：

• 用户名
• PID
• 时间
• 文件路径
• 操作类型（unlink / rmdir）

三、如果你说的是「桌面环境回收站」（GNOME / KDE）

GNOME / Ubuntu 桌面

回收站位置：

~/.local/share/Trash/

结构：

Trash/
 ├── files/      # 被删文件
 └── info/       # 删除信息（含时间）

查看删除时间：

cat ~/.local/share/Trash/info/文件名.trashinfo

示例：

[Trash Info]
Path=/home/user/test.txt
DeletionDate=2026-01-20T10:30:00

✅ 这是最接近“回收站日志”的东西

四、如果你用的是「文件服务器 / NAS / Samba」

Samba 删除日志

/var/log/samba/

查看谁删了文件：

grep "unlink" /var/log/samba/log.smbd

五、如果你用的是「rm 替代工具」（如 trash-cli）

trash-list

查看删除记录：

trash-list

总结对照表

如果你能告诉我：

• 是 服务器还是桌面
• 用的 什么系统（CentOS / Ubuntu）
• 是 rm 删除还是桌面删的

我可以给你更精确的命令。