必须在恢复模式下禁用sip：一、完全禁用执行csrutil disable，apple silicon还需csrutil authenticated-root disable；二、选择性禁用可用--without debug/kext/fs等参数；三、启用或验证均需通过csrutil enable/status命令配合重启。
☞☞☞AI 智能聊天, 问答助手, AI 智能搜索, 多模态理解力帮你轻松跨越从0到1的创作门槛☜☜☜
如果您在MacOS上尝试部署需要底层系统访问权限的Core级管理工具，但被阻止修改受保护路径或加载内核扩展，则很可能是系统完整性保护（SIP）处于启用状态。以下是关闭与开启SIP的多种可行操作方式：
一、完全禁用SIP（适用于所有Mac机型）
该方法将彻底解除SIP对/System、/usr、/bin、/sbin等关键路径及内核扩展签名的全部限制，使系统恢复为可写状态，适用于需全局系统修改的场景。
1、在正常系统中打开「终端」，输入csrutil status确认当前状态，确保返回结果为enabled。
2、若为Apple Silicon机型：关机后长按电源键直至出现“正在载入启动选项…”界面，点击「选项」→「继续」；若为Intel机型：重启时立即按住Command + R不放，直到显示Apple标志后松开。
3、进入「macOS 实用工具」后，从顶部菜单栏「实用工具」→「终端」启动终端程序。
4、在终端中输入命令：csrutil disable，回车执行。
5、对于M1/M2/M3等Apple Silicon芯片Mac，必须额外执行：csrutil authenticated-root disable，否则根卷仍为只读。
6、终端显示“Successfully disabled System Integrity Protection”后，从苹果菜单选择「重新启动」。
二、选择性禁用SIP子功能（仅开放指定权限）
此方式保留SIP基础防护能力，仅解除特定子模块限制，安全性高于完全禁用，适用于仅需调试、加载kext或修改文件系统等单一需求场景。
1、按前述步骤进入恢复模式并启动「终端」。
2、若需解除调试限制（允许lldb、sysdiagnose等工具运行），输入：csrutil enable --without debug，回车。
3、若需解除内核扩展加载限制（允许未签名kext），输入：csrutil enable --without kext，回车。
4、若需同时解除文件系统保护（如修改/System/Library/Extensions），输入：csrutil enable --without kext --without fs，回车。
5、若需禁用除基本代码签名验证外的所有子功能，输入：csrutil enable --without kext --without fs --without debug，回车。
6、每条命令执行成功后，终端将返回“Successfully enabled System Integrity Protection”，随后执行重启。
三、重新启用SIP（标准恢复流程）
完成必要系统修改后，应立即恢复SIP以保障系统安全。该操作将重置所有保护策略，包括对系统分区、内核扩展及进程调试的强制校验机制。
1、依芯片类型进入恢复模式：Apple Silicon机型长按电源键触发启动选项，Intel机型使用Command + R组合键。
2、在「macOS 实用工具」中通过「实用工具」→「终端」打开终端。
3、输入命令：csrutil enable，回车执行。
4、终端提示成功后，从顶部苹果菜单选择「重新启动」。
5、重启进入正常系统，在终端中运行csrutil status，确认输出为“System Integrity Protection status: enabled”。
四、验证SIP当前状态（任意阶段均可执行）
无论处于恢复模式还是正常系统环境，均可通过该命令即时确认SIP实际生效状态，避免因操作遗漏或NVRAM配置残留导致误判。
1、在恢复模式下：打开「终端」，直接输入csrutil status并回车。
2、在正常系统中：打开「应用程序」→「实用工具」→「终端」，同样执行csrutil status。
3、终端将明确返回当前状态，例如：“System Integrity Protection status: disabled”或“enabled”。
4、若返回结果与预期不符，可先在恢复模式终端中执行csrutil clear清除CSR配置缓存，再重试启用或禁用命令。
