2024年3月19日发(作者：)

NTFS文件系统结构分析

NTFS（New Technology File System）是Windows操作系统中使用的

一种文件系统。它具有很高的性能、可靠性和安全性，能够支持大容量的

存储设备和大文件。NTFS文件系统的结构是一个层次化的树形结构，包

括主引导记录、文件记录和索引节点。

首先，NTFS文件系统的结构以一个特殊的区域开始，这个区域是主

引导记录（MBR）。MBR包含了分区表和主引导代码。分区表记录了存储

设备上各个分区的信息，而主引导代码是启动操作系统所需的代码。

在MBR之后，是NTFS卷头区。卷头记录了整个NTFS分区的总体信息，

包括分区大小、文件系统版本、集群大小等。卷头还包含了分配表（MFT）

和文件记录（FBA）。

MFT是NTFS文件系统中最重要的数据结构之一、它是一个特殊的文

件，包含了文件系统中所有文件和目录的元数据信息。MFT中的每个条目

都称为文件记录（File Record）。文件记录包含了文件或目录的属性、

数据和空间分配信息等。每个文件记录的大小为1024字节，因此MFT的

大小是一个固定值，随着文件数量的增加，MFT会使用更多的文件记录。

在NTFS文件系统中，文件的元数据被存储在文件记录的属性列表中。

属性是描述文件或目录特性的数据结构，可以包含文件的名称、日期、权

限、数据流等信息。一个文件记录可以有多个属性，每个属性都有一个唯

一的标识符，以便进行查找和访问。

除了MFT中的文件记录，还有一些文件记录是为系统保留的，如$MFT

文件记录用于记录MFT自身的信息，$LogFile文件记录用于记录文件系

统的操作日志。

在NTFS文件系统中，文件的数据被分布在集群（Cluster）中。集群

是文件系统中的最小分配单元，一个集群的大小由卷头区中的集群大小字

段确定。文件记录中有一个数据属性，用于记录文件的数据在存储设备上

的分布情况。

最后，NTFS文件系统还包含了一种特殊的数据结构，称为索引节点

（Index Node）。索引节点被用于加快文件和目录的查找速度。索引节点

本身也是一个文件记录，其中包含了一个键值对的列表，键是文件或目录

的名称，值是文件记录的位置。

总的来说，NTFS文件系统的结构是一个层次化的树形结构。从主引

导记录开始，通过引导码和卷头记录获取文件记录和索引节点，再通过文

件记录的属性和数据属性获取文件的元数据和数据。这种结构的设计使得

NTFS文件系统具有高效、可靠的特性，能够满足现代操作系统对文件系

统的需求。