Linux无法修改文件创建时间（crtime），touch仅能更改atime、mtime和ctime；ext4/XFS等文件系统不提供用户态写入接口，birth time在创建后即固化，仅可读不可改。
Linux 不能真正修改文件创建时间（birth time）
绝大多数 Linux 文件系统（如 ext4、XFS 默认配置）不提供用户态接口修改 crtime（即“创建时间”），touch 命令根本无法触碰它——它只能改 atime（访问时间）、mtime（修改时间）、ctime（状态变更时间）。所谓“用 touch 更正创建时间”，是常见误解。
ext4 上查看和伪造 birth time 的实际限制
即使你用 stat 看到 Birth 字段，那也只是内核从磁盘读出的原始值；它在文件创建后就固化了，没有标准系统调用能重写。部分新内核（5.1+）+ XFS 或启用 ext4 的 inode_v2 + project 特性时虽支持 birth time 存储，但仍不开放写权限。
-
stat -c "%w %y" filename中的%w显示 birth time，但为空或-表示不可用 -
debugfs -R "stat /path/to/file" /dev/sdXN可查 ext4 底层 inode 的crtime，但仅只读 - 试图用
touch -d "2020-01-01" filename或touch -t 202001010000 filename—— 它只动mtime和atime，ctime会随操作自动更新，crtime不变
唯一可行的“绕过”方式：重建文件 + 保留原元数据（谨慎！）
如果你真需要某个文件“看起来”是更早创建的，只能删掉旧文件、新建一个同名文件，并手动设置它的 mtime/atime，再用 cp --preserve=timestamps 或 touch -r ref_file new_file 同步时间戳。但注意：crtime 仍是新建时刻。
- 备份原文件：
cp -a original.txt backup.txt（-a保留权限/所有时间戳，但不包括 birth） - 删除并重建：
rm original.txt && touch original.txt - 恢复 mtime/atime：
touch -r backup.txt original.txt - 验证：
stat -c "mtime:%y, atime:%x, crtime:%w" original.txt—— 你会发现%w是当前时间
为什么很多文章说“touch 可以改创建时间”？
混淆了术语：Windows 的“创建时间”对应 Linux 的 crtime，但 Windows API 允许修改，而 Linux 没有等价 syscall。有些工具（如 debugfs 直接写磁盘、或用 e2fsprogs 的实验性 patch）理论上能硬改 inode 字段，但这属于破坏性操作，会导致文件系统校验失败、数据丢失风险极高，生产环境绝对禁止。
真正需要时间线可信的场景（如审计、取证），依赖的是 mtime + 日志 + 不可篡改存储，而不是幻想修改 crtime。
