这可能是一个有点愚蠢的问题，但我一直无法在任何地方找到答案。 有没有办法找出更改日志中的最后一条记录是什么？
当我们第一次运行 FSTCL 查询时，枚举所有记录花费的时间太长。有没有简单的方法可以找到它？
最佳答案
FSCTL_QUERY_USN_JOURNAL 返回将用于下一条记录的 USN (NextUsn)。最后一条记录通常是 NextUsn 负 1。为了安全起见，您可以使用 FSCTL_ENUM_USN_DATA 和 USN 过滤来查找 NextUsn 负 1，如果它不存在，则查找 NextUsn 负 2，然后是负 4，等等。
关于c++ - 关于 NTFS Change Journal USN 记录的问题，我们在Stack Overflow上找到一个类似的问题： https://stackoverflow.com/questions/7535638/