用户删除数据、隐藏应用、加密文件或使用私密空间，并不意味着痕迹完全消失。手机系统和应用为了提升性能、同步数据、显示缩略图、维持会话和记录状态，常常会留下大量残留。
在取证比赛中，“删除了什么”“隐藏了什么”“加密文件密码在哪里”“私密空间里有什么”经常是高分题。分析这类问题，需要从文件系统、数据库、缓存、缩略图、备份和日志多个角度展开。
一、删除数据不等于消失
删除后可能残留在：
数据库 WAL 文件
SQLite 空闲页
应用缓存
缩略图
系统最近删除
云端回收站
聊天附件目录
通知记录
搜索索引
备份文件
日志文件
因此，如果当前界面或当前数据库表中看不到，不代表数据不存在。
二、SQLite WAL 残留
很多应用使用 SQLite WAL 模式。相关文件包括：
app.db
app.db-wal
app.db-shm
WAL 文件可能保存尚未合并或历史更新记录。分析数据库时应同时保留主库和 WAL 文件，否则可能丢失最新数据或删除前残留。
常见现象：
