是针对全硬盘加密提的。
因为加密/和/usr意义不大，明文别人看见就看见了，最多知道你都安装了什么软件而已，这里需要的其实是integrity check，要验证/和/usr有没有被谁动过手脚。用encryption提供integrity不是不行，但是，代价是什么呢，是性能损失，电费，以及ssd的寿命(这个的确不是什么代价)。
内核是有dm-verify和fs-verify的，但这两个是针对read-only的，有些场合会很有用比如更新不频繁的distro，像android，chrome os，就很好，说不定还能用上erofs。
但arch不行，每天一滚怎么可能上只读根文件系统，所以还是只能用rw，
所以说，rw的文件系统要怎么不加密还能提供integrity呢？
突然发现花这个fs，是叫工口fs啊。。。
luks 并不会影响 SSD 的寿命啊。有 AES-NI 的话，性能损失和耗电也可以忽略不计。而且你签名不也耗性能么？
另外 luks 并不保证完整性。要保证完整性，你需要在里边放 btrfs 这种东西。
毕竟明文可以直接把某些文件替换成恶意文件，只加密的情况这种替换就比较难实现了嘛
emmm，其实仔细想一想保证笔记本硬盘integrity的最简单方案是在后盖螺丝孔上面贴个封条(
(好了磁铁终结)
这读写驱动要整个大改啊。写的时候要签名，读的时候要验证，然后如果两个进程一读一写麻烦就大了
这已经类似于数据库了，每个事务彼此隔离，一个写不影响另一个读，这对于块设备或者文件系统就太重了，还要考虑写到一半断电了，下次上来还要修复写了一半数据的问题。