Polik Recovery：Rust 資料復原研究預覽

🏗️ 系統架構與四大核心引擎專家特調

開發快照把引擎劃分為多個 crates。以下說明實作方向，不代表公開 0.1.0 artifact 的每項能力已通過版本一致的測試；實際狀態以能力矩陣為準。

🛠️ 開發快照 CLI 範例（目前公開倉庫不可直接執行）專家特調

下列命令保留作為歷史開發介面示例。公開倉庫目前沒有對應產品原始碼與 fixtures，不能直接執行；完成 canonical source 與 release gate 後，文件才會改成版本一致的可重現教學。任何測試只能使用人工 fixture，不得把 /dev/disk* 或唯一資料副本代入。

第一步：編譯與測試

在未來的 canonical source repository 中，應先執行完整 workspace 測試與格式檢查。歷史測試數字不代表目前公開 artifact 的狀態：

# 在具備來源與固定工具鏈的 repository 執行
cargo test --workspace --all-features

# 檢查代碼排版
cargo fmt --check

cargo run -q -p polik-recovery-cli

第二步：列舉硬碟裝置

本引擎的 macOS 模組可以讀取磁碟配置。你可以使用 devices 指令列出受保護或外接的唯讀硬碟：

cargo run -q -p polik-recovery-cli -- devices

第三步：掃描 NTFS 並建立 VFS 樹狀結構

讓我們使用測試映像檔，將其中的檔案結構以 JSON 格式印出，這有助於後續 UI 端或計畫程式進行解析：

cargo run -q -p polik-recovery-cli -- ntfs-scan-vfs --file fixtures/images/ntfs_volume_with_mft.bin --count 2 --format json

執行後，您將會得到類似下方的結構，標明了每個檔案的 id（MFT record 序號）、路徑、類型以及分配狀態（例如 Allocated 或 Deleted）：

{
  "source": "fixtures/images/ntfs_volume_with_mft.bin",
  "volume_offset": 0,
  "entries": [
    {"id":0,"path":"/$MFT","kind":"File","status":"Allocated","size":16384},
    {"id":5,"path":"/report.txt","kind":"File","status":"Deleted","size":42}
  ]
}

第四步：執行批次復原計畫 (Batch Recovery)

透過建立一個復原計畫的 JSON 檔（例如 plan.json），我們可以一次抽取多個選定項目，並將其安全寫入指定的目的地。

{
  "source": "fixtures/images/ntfs_volume_extract.bin",
  "volume_offset": 0,
  "items": [
    { "record_index": 0, "output_filename": "recovered_data.txt" }
  ]
}

接著，在 CLI 中執行此計畫：

cargo run -q -p polik-recovery-cli -- ntfs-extract-batch --plan plan.json --output-dir /tmp/recovered_output

執行完畢後，在 /tmp/recovered_output 目錄下，您會發現復原成功的檔案、單一檔案的雜湊證書，以及專門用來作鑑識與稽核的 recovery-session.manifest.txt 總結清單！

🔍 File Carving 實際示範與 MP4 Box 走訪細節專家特調

當我們面臨一塊被完全格式化的隨身碟時，檔案系統資料已經蕩然無存，這時可以利用 carve 指令直接掃描特徵並重建檔案。

cargo run -q -p polik-recovery-cli -- carve --file <raw_image.bin> --output-dir /tmp/carved_files --format text

在背後，以 MP4 檔案的彫刻為例，引擎不會只尋找 footer，因為許多 MP4 沒有統一的結尾標記。開發快照中的 find_mp4_length 與 find_ole_length 會分別走訪 MP4 Box 及 OLE FAT 分配扇區結構鏈：

// 簡化版 MP4 Box 走訪示意
fn find_mp4_length(source: &S, start_offset: u64) -> Option<u64> {
    let mut offset = start_offset;
    while offset < limit {
        let box_size = read_be_u32(source, offset)?;
        let box_type = read_box_type(source, offset + 4)?;
        
        // 若遇到不合常理的 box_size 或包含非 ASCII 字元的 type，則停止
        if !is_valid_type(box_type) { break; }
        
        offset += box_size; // 前進到下一個 Box
    }
    Some(offset - start_offset)
}

這種依循結構長度進行雕刻的方式，可降低單純 footer 搜尋的誤判，但不能保證碎片化、截斷或 metadata 異常的影片一定完整；仍須以 precision／recall corpus 與輸出 hash 驗證。