日志文件这东西，何删就像你手机里的除日除记通话记录。平时根本想不起来看，志清可一旦需要查证什么，何删翻起来才发现它们堆了几个月甚至几年。除日除记删除它们不是志清犯罪，但操作不当，何删反而会留下更明显的除日除记痕迹。

拿Windows系统举例。志清事件查看器里躺着几千条记录，何删从开机时间到软件报错，除日除记事无巨细。志清很多人以为右键“清除日志”就完事了——大错特错。何删系统会在清除动作发生的除日除记同一秒，生成一条“日志服务已启动”的志清新记录。等于你擦掉黑板上的字，却把粉笔印留在了讲台上。真正干净的做法是，先停止Windows Event Log服务，再删除C:\Windows\System32\winevt\Logs目录下的.evtx文件，最后重启服务。顺序不能乱，否则文件被占用，删到一半卡住，反而触发系统写入错误日志。

浏览器历史记录更麻烦。Chrome的History文件是个SQLite数据库，直接删除文件会让浏览器下次启动时重建一个全新的，但你的书签、密码、自动填充数据全存在同一个文件里，删了就一起没了。聪明点的办法是进入浏览器设置里的“清除浏览数据”，勾选“浏览历史记录”，但这里有个坑——如果你用的是公司电脑或共用设备，系统管理员可能配置了组策略，强制保留历史记录，你这边点清除，那边服务器照样同步备份。这种时候，不如直接用无痕模式，从源头就不产生记录。

Linux服务器上的操作日志，那才是真正的硬骨头。/var/log/secure记录SSH登录尝试，/var/log/messages存系统运行状态。有些运维人员图省事，直接执行echo > /var/log/secure清空文件。这招对付普通查看够用，但要是碰上设置了auditd审计服务的系统，你的清空动作本身就会被记录在/var/log/audit/audit.log里，包括执行命令的终端号、时间戳、用户ID。想彻底抹除，得先停掉auditd服务，再处理日志文件，最后还要修改系统时间戳，让文件修改时间看起来和系统其他日志一致。这一套操作下来，没点Linux功底真搞不定。

手机端又是另一套逻辑。安卓的logcat日志缓存在内存里，重启就没了，但/data/anr/和/data/tombstones目录下可能残留崩溃记录。iPhone更封闭，普通用户根本拿不到系统日志的写入权限，只有越狱设备才需要担心这个问题。有意思的是，大多数人想删的其实不是系统日志，而是微信聊天记录或者网页浏览痕迹——那属于应用数据，删除路径完全不同。

说到底，删除日志这件事，本质上是和系统设计者的博弈。他们故意让日志难以彻底清除，是为了在发生安全事件时能追溯源头。你要是真干了什么见不得人的事，光删本地日志没用，云服务器上的备份、路由器的流量记录、甚至你ISP那边的连接日志，都还在。但如果你只是想清理一下个人电脑上的使用痕迹，保护点隐私，那按上面说的操作，基本够用了。

最后提醒一句，别在公共电脑上尝试这些操作。公司IT部门通常部署了EDR终端检测系统，你删日志的行为会触发实时告警。到时候主管找你谈话，你总不能说是在练习技术吧？