微信撤回消息恢复

简介

撤回消息恢复处理的对象是用户已经撤回的那条消息。在微信中，用户长按已发送的消息并执行撤回后，客户端会向会话发送一条系统提示，接收端解析该提示后，把原来的消息替换为“某某撤回了一条消息”的字样。 正因如此，恢复的关键在于原消息被替换或清除之前，从缓存、内存或数据库中取得其内容。

聊天记录在中国法律中被列为电子证据的一种，其取证价值使撤回消息的恢复成为电子数据取证领域的研究课题。^[4] 已有针对PC端微信的取证研究指出，相关研究较多集中在撤回消息的恢复上。腾讯方面则表示，聊天记录涉及用户隐私，服务器不保存任何聊天记录，数据被清除且没有备份时无法恢复。^[3]

沿革

2014年6月，微信新版本上线消息撤回功能，支持用户撤回2分钟内发出的最后一条消息，该功能最初只支持手机端，且新旧版本之间不能兼容互通。^[1] 对于2分钟这一时限，微信方面后来解释，依据是对方大概率尚未读完消息，超过2分钟后撤回会显得尴尬，而不限时撤回会让发送者能够随意修改聊天记录。^[2]

此后微信对撤回规则作出调整，不同消息类型的时限不再一致。文字、语音、图片、表情包、视频等常规消息仍可在2分钟内撤回，Word文档、Excel表格、PPT演示文稿、PDF、MP3以及压缩包等文件类消息的撤回时限则延长至3小时。^[5] 文字消息撤回后，用户还可在5分钟内点击“重新编辑”直接修改原文，一次性转发的多条消息也支持一并撤回。^[2]

围绕撤回消息能否还原，技术层面的讨论紧随撤回功能出现。此后有开发者解析撤回系统提示中的消息标识，再与本地缓存的历史消息逐一比对，从而定位被撤回的内容。 后续研究进一步扩展到内存分析与数据库解析，针对Windows平台微信提出可恢复文本、图片、表情等多种类型撤回消息的方法。^[4]

特点

撤回消息恢复与删除消息恢复面对的对象并不相同。删除消息恢复处理的是被用户主动删掉的聊天内容，而撤回消息恢复所针对的消息，是被一条系统提示原地替换掉的。 一旦承载原文的缓存、内存或数据库副本被覆盖，恢复便难以实现，因此这类操作往往需要把握时机。

公开资料中提到的技术路径大致有几类。一类借助客户端收到的撤回提示，其中含有被撤回消息的标识，可在本地缓存里比对找出原文； 一类解析备份文件或缓存文件，从缓存单元中还原会话与消息内容，这条路径在消息被删除后也能起作用；^[6] 还有一类同时处理加密数据库与索引数据库，在加密数据库底层被填充、内容缩减的情况下，改用索引数据库中的记录找回被删除的消息。^[7]

微信聊天数据以SQLite数据库形式保存在设备本地，并通过加密方式保护。^[8] 安卓平台与PC平台在数据库页面大小等细节上存在差异，^[4] Windows平台微信的聊天记录还会按时间顺序分散存放在多个数据库文件中，其中部分数据表保存的正是被删除的数据，可据此进行恢复。^[4]

撤回后留下提示也是一个相对固定的设定。微信方面解释，作为通信工具首先要保证送达的准确性，若消息无痕消失会让“收到没有”“发过什么”无从确认；同时系统层面的推送提醒无法撤回，接收方在通知栏已经看到过消息到达的信息。^[5] 这意味着即便应用内部的撤回做到不留痕迹，接收端的通知记录仍可能保留线索。

参见

• 微信 —— 本词条所涉消息撤回与数据存储机制所在的即时通讯应用。

• 电子数据取证 —— 撤回消息恢复所属的技术与应用领域。

• SQLite —— 微信聊天数据所采用的数据库格式，其存储结构分析是恢复研究的基础。

• SQLCipher —— 用于加密SQLite数据库的开源模块，与微信数据的加密存储相关。

• 腾讯 —— 微信的开发与运营方，其对聊天记录保存与恢复的说明构成本词条的重要内容。