在macos中强制执行磁盘加密需分场景：启动盘必须用filevault全盘加密，覆盖所有数据并依赖恢复密钥；外置盘应通过磁盘工具抹掉并格式化为apfs(加密)；文件夹级加密推荐创建aes-256加密.dmg映像；禁用屏幕锁等替代方案，严防密码弱、提示直白、未关filevault重装等失效陷阱。
在 macOS 中强制执行磁盘加密，核心是分场景选择合适的技术路径并落实关键控制点——不是所有“加密”都能提供同等防护级别，必须根据设备类型（启动盘/外置盘/文件夹）、使用环境（单机/企业/移动办公）和威胁模型（防丢失？防离线窃取？合规审计？）来匹配方案。
对启动磁盘启用 FileVault 全盘加密
这是 macOS 唯一能真正实现“系统级强制加密”的机制，覆盖用户数据、缓存、交换文件甚至已删除但未覆写的残留信息。
- 必须通过 系统设置 → 隐私与安全性 → 文件保险箱 开启，或用终端命令
fdesetup enable；图形界面方式会引导你选择恢复密钥托管方式（iCloud 或手动记录） - 启用后，每次开机进入登录界面前，系统已处于加密状态；用户登录即触发自动解密，无需额外操作
- 务必保存好 24 位恢复密钥——它不会重复显示，也不存于钥匙串或 iCloud（除非你主动选择托管），丢失即永久无法访问数据
- 企业环境可结合 MDM（如 Jamf、Kandji）策略强制部署，并禁用用户自行关闭选项
对外置存储设备实施 APFS(加密) 格式化
适用于 U 盘、移动硬盘等需跨 Mac 使用、且要求拔插即锁的场景。注意：该方式需抹掉设备，不可逆。
- 打开“磁盘工具”，选中设备物理条目（非其下宗卷），点击“抹掉”
- 格式必须选 APFS(加密)（macOS 10.13+ 推荐）或 Mac OS 扩展(日志式,加密)（兼容旧系统）
- 输入高强度密码，建议启用“密码提示”但内容要隐晦（如“高中校训首字”而非“XX中学”）
- ⚠️ 加密后的外置盘不能用于 AirPort 基站的时间机器备份，也不能被非 macOS 系统直接识别
为敏感文件夹创建加密磁盘映像（.dmg）
这是最灵活、零风险的文件级加密方式，不改动原文件，生成独立可分发的加密容器。
- 推荐用“磁盘工具 → 新建映像 → 从文件夹制作映像”，自动计算空间、保留结构、支持读/写模式
- 加密算法务必选 AES-256；密码不要勾选“记住在钥匙串中”，尤其当设备可能被他人接触时
- 也可右键点击文件夹，按住 Control 键选择“加密 [名称]”，系统自动生成同名 .dmg 文件，操作更快捷
- 生成的 .dmg 双击挂载需密码，推出后即加密封存；可复制到任意位置，包括云盘或邮件发送
避免常见失效陷阱
很多所谓“已加密”实际形同虚设，关键细节决定防护是否真实生效：
- 仅设置屏幕锁定密码 ≠ 磁盘加密——他人重启电脑仍可绕过登录直接读取未加密磁盘
- 用 Finder 右键加密外置盘时，若设备已挂载且含数据，系统会先弹出警告；忽略警告强行操作可能导致数据丢失
- FileVault 启用后，若用恢复模式重装系统但未提前关闭 FileVault，新系统将无法访问原加密卷
- 加密磁盘映像的密码若设得太简单（如生日、123456），或提示语过于直白（如“我的密码”），等于主动降低攻击门槛
