必须在恢复模式下禁用sip：一、完全禁用需执行csrutil disable；二、部分禁用可选--without debug/kext/fs等参数；三、apple silicon机型还需额外运行csrutil authenticated-root disable。
如果您需要对Mac系统关键区域进行深度修改，例如安装第三方内核扩展、调试底层驱动或重写受保护的系统路径，则必须关闭系统完整性保护（SIP）。由于SIP在正常系统运行时强制生效，所有禁用操作都必须在恢复模式下执行，无法通过常规系统设置或终端直接完成。以下是多种可行的禁用方法：
一、完全禁用SIP（适用于所有Mac机型）
该方法将彻底关闭SIP全部防护层，使系统根目录、/System、/usr、/bin等关键路径可写，同时允许加载未签名内核扩展和调试工具。此操作影响全局安全策略，需谨慎使用。
1、确认当前SIP状态：打开「应用程序」→「实用工具」→「终端」，输入csrutil status并回车，观察返回是否为enabled。
2、进入恢复模式：若为Apple Silicon芯片（M1/M2/M3等），关机后长按电源键直至出现启动选项界面，点击「选项」→「继续」；若为Intel芯片，重启时立即按住Command + R不放，直到显示Apple标志或地球图标后松开。
3、在「macOS 实用工具」窗口顶部菜单栏点击「实用工具」，选择并启动「终端」。
4、在终端中输入命令：csrutil disable，然后按回车键。
5、如提示确认，输入y并回车；部分M系列机型还需额外执行：csrutil authenticated-root disable。
6、终端显示“Successfully disabled System Integrity Protection”后，从顶部苹果菜单选择「重新启动」。
二、部分禁用SIP（仅解除指定保护项）
macOS Big Sur（11.0）及更新版本支持选择性禁用SIP子功能，在保留基础防护的前提下开放特定权限。此方式比完全禁用更安全，适用于仅需调试、加载kext或修改文件系统等场景。
1、按前述步骤进入恢复模式并打开「终端」。
2、若需禁用调试限制（允许lldb、sysdiagnose等工具运行），输入：csrutil enable --without debug，回车。
3、若需允许第三方内核扩展加载，输入：csrutil enable --without kext，回车。
4、若需同时解除文件系统保护（如修改/System/Library/Extensions），输入：csrutil enable --without kext --without fs，回车。
5、若需禁用所有除基本签名验证外的保护，输入：csrutil enable --without kext --without fs --without debug，回车。
6、每条命令执行成功后，终端将返回“Successfully enabled System Integrity Protection”，随后执行reboot重启系统。
三、针对Apple Silicon Mac的增强禁用流程
Apple Silicon机型启用认证根卷（Authenticated Root Volume）机制，默认阻止对已装载系统卷的任何写入，即使SIP已禁用。因此，仅执行csrutil disable不足以完成某些固件级或系统卷级修改，必须同步禁用认证根卷。
1、确保已成功进入恢复模式并打开「终端」。
2、先执行标准禁用命令：csrutil disable，回车。
3、立即执行认证根卷禁用命令：csrutil authenticated-root disable，回车。
4、如需验证认证根卷状态，输入：csrutil authenticated-root status，回车，确认输出为“disabled”。
5、关闭终端，从顶部苹果菜单选择「重新启动」，或在终端中直接输入：reboot。
