lalebarde's questions

语境 ：

• btrfs 文件系统损坏（根树）后的 Debian 12 系统恢复试验，没有备份，但可以访问所有（？）文件。我在损坏后复制了系统，一切看起来都正确。我全新安装了 Debian 12。从这里，我rsync编辑了系统，除了/etc. 对于最后一个，我rsync只编辑了丢失的文件。
• 现在，我必须聪明地更新/etc。我想使用类似的工具meld来让它变得更容易。但它不能作为 root 运行。所以我制作了旧版和新版的副本/etc，并且chown -R user:user都是从 LIVE DVD 中制作的。

当我的新版本etc更新时，我想在替换整个/etc新安装之前恢复文件/目录所有权。

这里的主题不是我的系统恢复，而是从具有相同文件和正确所有权的树副本恢复文件所有权。

ls -l提供所有权但不提供完整路径。find提供完整路径但不提供所有权。我最终找到了这个解决方案：

find previous_etc -exec sh -c 'chown -v --reference=$0 "new_etc${0#previous_etc}"' {}  \;

所以，这是一个自我回答的问题。但如果你有其他方法，我很好奇。

假设我想过滤日志以使用每个用户 ID 的不同文件，我可以为每个 uid 编写一个规则，如下所示：

if $msg contains 'uid=500' then /var/log/uid/500
if $msg contains 'uid=501' then /var/log/uid/501
if $msg contains 'uid=502' then /var/log/uid/502

我想用这样的正则表达式捕获写一行：

if $msg contains 'uid=\([0-9]+\)' then /var/log/uid/\1

有可能吗？请问如何？

Auditd 不允许在不同文件中记录不同的过滤器（参见手册页）。是否有替代方案使其成为可能，特别是分离账户活动？