macOS 权限控制机制的核心架构及工作原理

macOS权限控制由四层协同构成：文件系统权限（POSIX/ACL）管控文件访问，沙盒机制限制应用行为边界，TCC管理用户隐私数据授权，SIP保护系统基座不可篡改，四者依次拦截、缺一不可。

macos 权限控制不是单一开关，而是一套分层协同、各司其职的安全架构：文件系统权限管“谁可以碰哪些文件”，沙盒机制管“某个应用能做什么”，sip 管“系统基座谁都不能动”，tcc 则专管“用户隐私数据给不给”。四者先后拦截，缺一不可。

文件系统权限：POSIX + ACL 的访问闸门

这是最底层的 Unix 风格权限，由内核在 open()、stat() 等系统调用时实时检查。它只认 UID/GID，不区分是哪个 App 在操作。

• 基础是 user/group/others 三类主体，配合 rwx 位（如 chmod 600 仅所有者可读写）
• ACL 提供更细粒度控制，例如 chmod +a "jane:read" /report.pdf，可单独授权某用户
• 注意：即使你账户对某个文件有 full control，一个沙盒 App 仍无法直接访问——它得先过沙盒这关

沙盒机制：应用行为的硬边界

每个 App 默认被锁进自己的容器目录（如 ~/Library/Containers/com.example.app），越界访问会被 XNU 内核直接拦截并返回 EPERM，不是“没权限”，而是“策略禁止”。

• 权限靠 entitlements 文件声明，例如 com.apple.security.files.user-selected.read-write 表示允许读写用户手动选中的文件
• “完整磁盘访问”权限 ≠ 打通沙盒，它只开放 ~/Documents、~/Downloads 等公共区域
• 跨 App 通信必须走认证通道，比如 XPC 连接或预注册的 URL Scheme，不能直连内存或文件句柄

TCC：用户隐私数据的守门人

TCC（Transparency, Consent, Control）数据库统一管理麦克风、照片、联系人、屏幕录制等敏感权限，所有请求都触发显式弹窗，用户随时可撤销。

• 每项授权精确到进程+功能+时间戳，例如 iTerm2 被允许访问照片库，Terminal 却不行
• 辅助功能权限需在「系统设置 → 隐私与安全性 → 自动化」中单独勾选对应进程
• 重置全部权限可用命令：tccutil reset All（调试时常用）

系统完整性保护（SIP）：操作系统基座的免疫层

SIP 是内核级强制策略，独立于用户账户和 root 权限。哪怕你用 sudo，也无法修改 /System、/usr/bin、/bin 等路径下的内容。

• 受保护对象通过 com.apple.rootless 属性标记，并由 /System/Library/Security/rootless.conf 动态定义
• 禁用 SIP 必须进入恢复模式运行 csrutil disable，且重启后才生效
• 它明确区分“系统空间”和“用户空间”：/Applications、/usr/local、~/Library 全部自由可写