自动化挂载macos加密存储的核心是安全无感地解锁与挂载：一、外置硬盘需将密码存入钥匙串并设“始终允许”；二、磁盘映像用hdiutil脚本配合launchd，通过security命令安全读取密码；三、time machine备份盘依赖钥匙串自动挂载，可配launchd监听挂载状态；四、须避免混用加密方式、确保钥匙串权限、优选.sparsebundle格式、严禁脚本明文处理密码。
管理 macOS 加密存储的自动化挂载配置，关键在于把“加密保护”和“自动挂载”解耦处理：加密是静态安全属性，挂载是动态访问行为。系统不会因卷已加密就自动挂载它，必须显式触发；而自动挂载本身又不能绕过密码验证——所以真正的自动化，是让系统在需要时**安全、可靠、无感地完成解锁与挂载**，而非跳过认证。
一、对加密外置硬盘启用自动挂载
适用于 USB/Thunderbolt 加密硬盘（APFS 或 Mac OS 扩展加密格式）：
- 确保硬盘已用“磁盘工具”抹掉并启用加密，且首次挂载时勾选了“记住此密码在钥匙串中”——这是后续自动挂载的前提
- 系统默认会在连接设备时尝试从钥匙串读取密码并自动挂载；若未生效，检查钥匙串中对应条目是否被禁用或权限受限
- 可手动测试：断开硬盘 → 打开“钥匙串访问” → 搜索硬盘名称 → 双击对应密码项 → 勾选“始终允许”并输入管理员密码确认
- 如仍失败，可在终端运行 diskutil apfs unlockVolume /dev/diskXsY -passphrase "your_password" 验证密码是否正确（注意替换 diskXsY 为实际标识）
二、对加密磁盘映像（.dmg/.sparsebundle）实现脚本化挂载
适合定期访问的敏感项目包或备份映像，需配合 launchd 定时或事件触发：
- 将 .sparsebundle 放在固定路径（如 ~/Documents/Backups/secure-data.sparsebundle）
- 编写挂载脚本（例：mount-secure.sh），内容含：
hdiutil attach -quiet -nobrowse -mountpoint "$MOUNT_POINT" "$IMAGE_PATH" - 脚本需有执行权限（chmod +x mount-secure.sh），且 launchd plist 中设置 StandardOutPath 和 StandardErrorPath 便于排错
- 若映像密码未存入钥匙串，脚本中不可硬编码明文密码；应改用 security find-generic-password -w -s "SecureImagePass" 从钥匙串安全读取
三、配合 Time Machine 加密备份盘的挂载管理
Time Machine 自身不管理挂载逻辑，但依赖系统级挂载状态：
- 加密的 Time Machine 备份盘（APFS 加密卷）在连接后会自动挂载，前提是密码已存入登录钥匙串
- 若 Mac 从睡眠唤醒后备份中断，常因备份盘未及时挂载；可创建 launchd agent 监听 com.apple.system.config.network_change 或使用 StartOnMount 触发轻量检查脚本
- 检查脚本只需一行：mount | grep -q "YourBackupDiskName" || hdiutil attach -quiet "/Volumes/YourBackupDiskName"（适用于 sparsebundle 类型）
- 注意：AirPort 基站不支持挂载加密外置盘作 Time Machine 目标，该限制无法绕过
四、避免常见陷阱
这些细节决定自动化是否真正稳定可用：
- 不要混用加密方式：FileVault 加密的是启动盘，不影响外置设备；外置盘加密必须单独启用，两者密钥完全独立
- 钥匙串权限必须明确授予：特别是通过 launchd 运行的脚本，默认使用 session 用户上下文，但可能无权访问登录钥匙串中的密码项
- 稀疏映像（.sparsebundle）比 .dmg 更适合自动化：支持动态扩容、挂载更稳定、损坏恢复能力更强
- 禁止在脚本中 echo 或 log 密码：即使调试阶段也应全程使用钥匙串接口，防止凭据泄露到日志文件
