macos软件升级通过分层信任模型与运行时权限约束保障安全：升级由system级service驱动，但用户数据和配置操作仍受tcc、沙盒、gatekeeper及文件所有权多重制约；安装器需apple公证与管理员授权，仅限预定义系统写入操作，不重置tcc权限，不触碰用户主目录文件，下载在用户空间完成，安装则进入隔离的恢复环境以root执行。
macOS 软件升级过程中的权限隔离，核心不是“升级时临时提权”，而是通过分层信任模型+运行时权限约束来保障系统安全。升级本身由系统级服务（如 softwareupdated）驱动，但真正影响用户数据或系统配置的操作，仍受 TCC、沙盒、Gatekeeper 和文件所有权等多重机制制约。
升级程序如何获得必要权限
macOS 升级安装器（如 macOS Sonoma Installer.app）在启动时会请求管理员密码——这不是授予它“无限权限”，而是触发系统授权流程：
- 安装器本身被 Apple 公证（Notarized），且签名有效，Gatekeeper 允许执行
- 它调用的底层工具（如
startosinstall）运行在特权上下文中，但仅限于预定义操作：解压镜像、校验包完整性、写入 /System、/usr 等只读分区（需先禁用 SIP 临时挂载） - 它无法绕过 TCC 记录：即使升级后重装了某个 App，该 App 仍需重新申请麦克风、通讯录等隐私权限，TCC 数据库不会被升级覆盖或重置（除非手动执行
tccutil reset）
用户数据与配置的隔离逻辑
升级过程默认不触碰用户主目录（/Users/xxx）下的个人文件，但以下几类内容存在明确隔离边界：
-
应用偏好设置（Preferences）：存于
~/Library/Preferences/，归属当前用户，升级不修改所有权，也不自动迁移第三方 App 的 plist —— 这些由 App 自身或 LaunchServices 处理 - 登录项与自动化权限：位于“系统设置→隐私与安全性→自动化”中的授权记录，独立于系统版本，升级后保留；但若新系统启用更严策略（如 Ventura 后对 Screen Recording 的二次确认），仍会弹出新授权框
- 辅助功能与完全磁盘访问：这些高危权限条目存储在 TCC 数据库中，升级不重置，但若某 App 在升级后首次调用 Accessibility API，系统仍会再次提示并要求手动勾选
为什么普通用户也能触发升级？
表面上看，非管理员账户点“立即升级”也能开始下载，这是因为：
- 下载阶段仅写入
~/Library/Updates/或缓存目录，属用户空间，无需 root - 真正安装需要提升权限：点击“重新启动并安装”时，系统会切换至恢复环境（Recovery OS），在那里以 root 身份运行安装器，与宿主系统完全隔离
- 恢复环境有自己的精简系统和权限模型，不加载用户登录项、不读取用户 TCC 设置，仅执行经 Apple 签名验证的安装包
企业或开发者场景下的额外隔离
当使用 MDM（如 Jamf、Kandji）推送升级时，权限控制进一步细化：
- MDM 命令可指定升级是否允许修改启动磁盘、是否跳过固件更新、是否禁用用户交互
- 但即便 MDM 下发指令，涉及用户数据的操作（如迁移 iCloud 设置、同步钥匙串）仍需当前登录用户解锁 Keychain 或输入密码，无法后台静默完成
- Sparkle 等第三方更新框架也遵循同样原则：更新包必须带 EdDSA 签名，安装器进程运行在独立 XPC 服务中，无权直接读写用户文档目录，只能通过用户授权后的 File Open panel 或 Security-Scoped Bookmarks 访问指定路径
