1. 背景
http://stackoverflow.com/q/20418694/941650
这里面临的一个核心问题是，如果MFT Reference相等，能够表明这些记录代表的是同一个文件吗？
对于这个问题，我们可以采取实验的方式来验证。
2. 实验环境
在实验设备Windows 7操作系统下，D盘是NTFS格式，而且打开了UsnJrnl功能。
使用fsutil usn工具来获取到关于UsnJrnl的信息：
1: C:Windowssystem32>fsutil usn
2: ---- USN Commands Supported ----
3:
4: createjournal Create a USN journal
5: deletejournal Delete a USN journal
6: enumdata Enumerate USN data
7: queryjournal Query the USN data for a volume
8: readdata Read the USN data for a file
1: C:Windowssystem32>fsutil usn queryjournal D:
2: Usn Journal ID : 0x01cd6ad7d5cd624e
3: First Usn : 0x0000000028100000
4: Next Usn : 0x000000002a38bc50
5: Lowest Valid Usn : 0x0000000000000000
6: Max Usn : 0x7fffffffffff0000
7: Maximum Size : 0x0000000002000000
8: Allocation Delta : 0x0000000000400000
1: fsutil usn readdata 1 0 0x7fffffffffff0000 D:
3. 实验
1. 创建一个文档daniel.txt
1: File Ref# : 0x00050000000c6c3f
2: ParentFile Ref# : 0x0005000000000005
3: Usn : 0x000000002a38a7c8
4: SecurityId : 0x00000000
5: Reason : 0x00000000
6: Name (020) : daniel.txt
可以看到它的File Ref为
File Ref# : 0x00050000000c6c3f
里面分解为更新号0x0005以及Mft Reference号0x0000000c6c3f
将daniel.txt文件删除后，
1: File Ref# : 0x00050000000c6c3f
2: ParentFile Ref# : 0x003c00000000002a
3: Usn : 0x000000002a38afa0
4: SecurityId : 0x00000000
5: Reason : 0x00000000
6: Name (024) : $R2QW90X.txt
仍然可以找到这个文件的记录，因为只是放到了回收站而已。
再在相同的位置创建一个同名的文件
1: File Ref# : 0x00040000000c6c43
2: ParentFile Ref# : 0x0005000000000005
3: Usn : 0x000000002a38b050
4: SecurityId : 0x00000000
5: Reason : 0x00000000
6: Name (020) : daniel.txt
可以看到这时文件名和位置虽然一致，但是File Reference号已经不同了。
我们到回收站里将daniel.txt复原，
选择覆盖，
1: File Ref# : 0x00050000000c6c3f
2: ParentFile Ref# : 0x0005000000000005
3: Usn : 0x000000002a38b3c0
4: SecurityId : 0x00000000
5: Reason : 0x00000000
6: Name (020) : daniel.txt
这时的记录就和刚刚创建的时候一致了。
我们这次将daniel.txt完成删除（不放到回收站里），再创建一个同名的文件
1: File Ref# : 0x00040000000c6c48
2: ParentFile Ref# : 0x0005000000000005
3: Usn : 0x000000002a38cf48
4: SecurityId : 0x00000000
5: Reason : 0x00000000
6: Name (020) : daniel.txt
这回记录不一样了，但是我们发现了下面的一条记录
1: File Ref# : 0x00060000000c6c3f
2: ParentFile Ref# : 0x0005000000000005
3: Usn : 0x000000002a38bbf0
4: SecurityId : 0x00000000
5: Reason : 0x00000000
6: Name (034) : journal_dump4.txt
可见，MFT表里的位置是很珍贵的，不能随便浪费，因此会不断地复用。
所以添加了一个更新号来区分究竟是不是同一个文件，只有当File Reference整体都相同时，才有可能是同一个文件。