macOS 如何在 APFS 中配置严格的访问权限保护核心数据库目录

APFS数据库目录权限需分层加固：先确认路径位于本地APFS卷且非SIP保护区，再设chmod 700、添加必要ACL并拒绝无关用户，同步限制TCC完全磁盘访问权限，最后启用FileVault全盘加密防物理绕过。

在 APFS 卷上为核心数据库目录（如 /Library/Application Support/YourApp/Database 或 /Users/Shared/DB）配置严格访问权限，不能只靠 chmod 或 ACL 单一操作。APFS 的权限模型与 macOS 的沙盒、TCC 和系统完整性保护（SIP）深度耦合，必须分层加固：先确保路径归属合理，再叠加文件系统权限、ACL 控制，并规避沙盒和 SIP 干预。

确认目录归属与挂载状态

APFS 权限生效的前提是目标目录位于本地 APFS 宗卷（如 / 或 /System/Volumes/Data），且未被 SIP 保护或挂载为只读：

1. 运行 df -h /path/to/db 确认所在宗卷类型为 apfs；若显示 hfs 或挂载选项含 ro，需先转换格式或重新挂载
2. 检查是否受 SIP 限制：ls -lO /path/to/db 中若出现 restricted 或 compressed 标志，说明该路径位于 SIP 保护区（如 /System），普通用户无法修改权限——应将数据库移至允许自定义权限的路径，例如 /Library/Application Support/ 或 /var/db/
3. 确保目录所有者是你信任的管理员账户（如 sudo chown -R admin:admin /path/to/db），而非 root 或 daemon，否则后续 ACL 可能被忽略

用 chmod + ACL 实现最小权限原则

单纯 chmod 700 不足以应对多用户或服务进程场景，必须结合 POSIX ACL 进行细粒度控制：

1. 基础权限设为 700：仅所有者可读写执行，sudo chmod 700 /path/to/db
2. 添加必要服务账户的最小 ACL：sudo chmod -R +a "daemon allow read,write,delete,add_file,add_subdirectory,file_inherit,directory_inherit" /path/to/db（仅当数据库由 launchd daemon 管理时才加）
3. 显式拒绝无关用户：sudo chmod -R +a "nobody deny read,write,execute" /path/to/db，防止 guest 或匿名访问绕过
4. 验证 ACL 是否生效：ls -le /path/to/db，确认输出中包含你设置的条目，且顺序正确（拒绝规则优先于允许）

绑定应用权限与 TCC 授权

即使文件系统权限收紧，若应用拥有「完全磁盘访问」权限，仍可能绕过 ACL 读取内容。因此需同步管控访问主体：

1. 打开「系统设置 → 隐私与安全性 → 完全磁盘访问权限」，仅勾选真正需要访问该数据库的应用（如你的主程序、备份工具），取消勾选浏览器、终端等通用工具
2. 对 Apple 芯片 Mac，授权后执行 sudo killall -u $(whoami) YourApp 强制刷新沙盒策略
3. 若数据库由后台服务（如 launchd plist）调用，需在 plist 中声明 com.apple.security.files.user-selected.read-write 权限，并在 Info.plist 中指定资源路径，否则 TCC 会静默拦截

启用 FileVault 并禁用恢复模式直读

文件系统级权限只能防运行时越权，无法阻止他人拆下硬盘用另一台 Mac 直接挂载读取。最底层防护必须依赖全盘加密：

1. 确认启动卷已启用 FileVault（fdesetup status 返回 FileVault is On.）
2. 禁用自动登录，确保每次启动都需输入密码解密 —— 否则 Recovery OS 可绕过登录直接挂载加密卷
3. 企业环境建议通过 MDM 锁定 FileVault 状态，禁止用户在「系统设置」中关闭