你删掉的照片，其实从没离开过

2024 年 5 月，一批 iPhone 用户更新到 iOS 17.5 之后，惊恐地发现：几年前删掉的照片，回来了。不是从云端备份里找回的——就在手机相册里，堂而皇之躺着，仿佛那几年的时光里，那个"删除"按钮从未被按下去过。

它们是怎么回来的

最先炸开的是 Reddit。有人贴出截图：2021 年删掉的照片，更新完系统又出现在相册里。评论区跟帖越堆越多，有人说自己 2010 年删的图也回来了。The Verge、9to5Mac 都跟进了报道。这不是个例的幻觉，是一批真实发生的"复活"。

苹果随后给出了官方回应，大意是：iOS 17.5 的问题源于数据库损坏，设备本地存储中没有被彻底清除的文件残留，因为数据库损坏而重新出现；并且强调，这与 iCloud 同步无关。

把这段回应的每个字拆开看，会发现它其实没说"没事了"，它说的是另一件事——你的手机里，一直躺着一批"删掉但没删干净"的东西。它们只是平时不出现在你眼前。一次数据库损坏，就让它们重新浮上来。删除这个动作，从来就不是"把文件从世界上抹掉"，而是"把文件从你能看到的地方拿走"。

"删除"到底发生在哪儿

你点下"删除"的那一秒，到底发生了什么？

先说 iOS。照片先进入"最近删除"，在那里躺 30 天。30 天之后，系统会"真正删除"。这个"真正删除"做的事，仍然只是在文件系统的账本上划掉一条记录：这块地方可以被新数据覆盖了。但旧数据本身，并没有被逐字节擦掉——它躺在原地，等着被覆盖，或者，等着一次数据库损坏把它重新认领回来。2024 年 5 月那批用户，就是撞上了后一种。

再往上一层，是云。所有主流云服务对待删除的态度都是一样的：软删除。你的删除请求先变成一条标记，数据进入保留期；之后还有备份系统，备份有自己的保留周期。每一层都是"标记"，没有一层是"立刻物理擦除"。

所以"删除"从来不是一个动作，而是一串发给别人的请求：请求这台手机的软件栈清理残留，请求云服务商的系统按时清除标记，请求他们的备份策略不留尾巴，请求他们的数据库永远不损坏。每一环都在别人的手里，每一环你都看不见。链条越长，"删干净"的承诺就越像一个愿望。

中国人对这件事有一种本能的理解。2016 年 360 云盘关停前夜，无数人熬夜把网盘里的东西往回抢——那一次大家明白的是：东西放在别人那儿，"有没有"由不得你。iOS 17.5 这次是镜像的那一课："没没有"，同样由不得你。百度网盘里被"和谐"的内容、换手机时微信聊天记录迁移丢了一半的无奈，讲的都是同一个道理：你的数据住在别人的软件栈里，存和灭，都不是你说了算。

删除键给不了你心安，是因为它承诺了它做不到的事

回到最开始那个焦虑。你删掉那些照片、那些记录，不是因为手机内存不够，而是因为不想让任何人看见。家人偶尔翻一下你的手机，你心头一紧——不是因为你做了什么亏心事，而是因为有些东西，属于你一个人。

删除键的问题在于，它给你的心安建立在一个你验证不了的假设上：假设厂商的每一层软件都会如约执行你看不见的动作。iOS 17.5 证明了这个假设有多脆弱：一次数据库损坏，就能把"已删除"变回"存在"。

爱比克泰德在《手册》开篇就划出这条线：有些事由得你，有些事由不得你，心安来自于分得清。汉娜·阿伦特则提醒过，私人领域之所以为私人，是因为它有一道真实的墙，而不是一句"我们承诺不看"。删除键的问题，恰恰是它只有承诺，没有墙。你按下去的那一刻，真正发生的事，是你把"希望它消失"这个愿望，托付给了别人的软件栈。

删得掉的东西，只有一种

有一个朴素到近乎粗暴的事实：真正意义上的删除，是一个物理事件。

一块硬盘在你手里，你想留，它就留；你想让它彻底消失，你可以把它拆开、砸碎、消磁——没有任何中间层可以"复活"它，因为根本没有中间层。删除动作发生在物理介质上，而不是发生在某个厂商的数据库里，就不需要发请求、等同步、祈祷他们的软件不出 bug。介质在谁手里，删除才算数。

这也是为什么，"自己加密"这一步如此关键。加密之后，钥匙只在你脑子里，硬盘上躺着的只是一堆谁也读不懂的乱码。这时候的"删除"有了双保险：你可以物理销毁介质，也可以仅仅销毁钥匙——钥匙没了，数据就永远是一堆乱码，和被烧掉没有区别。而整个过程，从加密到销毁，都不需要向任何人发请求。（技术上这套东西有名字，什么算法、什么隔离、密钥怎么分片，细节不必展开——重要的是钥匙和介质都在你自己手里。）

我干这行十年，最深的体会是：人们买的从来不是技术参数，而是一种"这件事终于由我说了算"的踏实。云服务再好，它的删除键也只是别人替你保管的一个按钮。按钮在你手里，东西在别人那儿——这就是全部的不安。而当你把加密好的硬盘拿在自己手里，编号、封条、存放都只是流程，真正让你睡得着的，是那块介质的物理命运，只听你一个人的。

Everkeep 为你自己拥有、自己加密的硬盘提供离线保管。我们编号、贴封条、拍照、存放——两份拷贝，两个地点——我们永远看不到里面。每个设备槽位 199 美元/年。