filevault仅加密启动宗卷，不支持外接磁盘；外接磁盘需用“磁盘工具”抹除并选择apfs（加密）或mac os扩展（日志式，加密）格式实现xts-aes 128位全盘加密。
FileVault 本身不支持直接加密外接磁盘。它是 macOS 专为启动宗卷（即内置系统盘）设计的全磁盘加密功能，依赖 Recovery HD 和系统级引导流程，仅作用于安装 macOS 的主启动卷（如“Macintosh HD”或“MacOS”），无法对 USB、Thunderbolt 或其他外接硬盘启用。
如果你需要保护外接磁盘中的数据，有以下几种切实可行且安全的替代方案：
外接磁盘加密应使用“磁盘工具”加密
macOS 自带的“磁盘工具”（Disk Utility）提供与 FileVault 同源、同强度的加密能力——即 XTS-AES 128 位加密，操作简单、兼容性好，且支持所有常见外接格式（APFS 或 Mac OS 扩展格式）。
- 打开“应用程序” → “实用工具” → “磁盘工具”
- 左侧选中外接磁盘（注意：是磁盘设备，不是其下的宗卷；若显示为灰色不可选，先点击顶部“显示”→“显示所有设备”）
- 点击上方“抹除”按钮
- 在格式选项中选择：
- APFS（加密） 或
- Mac OS 扩展（日志式，加密）
- 输入一个强密码，并勾选“加密时隐藏密码提示”（可选，增强安全性）
- 点击“抹除”——原有数据将被清除，新宗卷以加密方式创建
⚠️ 注意：此操作会清空整个外接磁盘。如需保留现有数据，请先备份，再抹除加密；或使用“加密宗卷”功能（仅限已存在且为 APFS 格式的宗卷）：在磁盘工具中右键点击该宗卷 → “加密”，输入密码即可原地加密，无需抹除。
使用“访达”加密压缩包作为轻量替代
适合临时分享或小批量敏感文件，无需格式化磁盘：
- 在访达中选中要保护的文件或文件夹
- 右键 → “压缩 [X] 个项目”
- 得到
.zip文件后，不要直接使用它（ZIP 默认不加密） - 改用终端生成加密 ZIP：
zip -er SecureArchive.zip Documents/
系统会提示输入密码，生成的 ZIP 使用 AES-256 加密，Windows/macOS 均可解压（需支持 ZIP 2.0+ 的解压工具）。
企业环境可结合 MDM 统一管控外接设备策略
虽然 FileVault 不管外接盘，但部分 MDM 方案（如 Jamf Pro、Microsoft Intune）支持配置策略，例如：
- 禁止未加密的外接磁盘自动挂载
- 强制用户使用加密格式格式化新接入磁盘
- 审计外接设备连接与读写行为
这类策略不加密数据本身，但能显著降低误用风险。
FileVault 是系统盘的“守门人”，而外接盘的安全得靠磁盘工具来把关。两者分工明确，用对地方才能真正守住数据。
