macos无统一安装日志，需组合验证：/var/log/install.log记录.pkg安装；pkgutil查注册包信息；spotlight的kmditemdateadded推断拖拽/app store安装时间；系统报告与info.plist创建时间辅助溯源。
macOS 不提供统一的“应用安装日志”文件，但可通过多个系统机制还原安装时间与来源。关键不是找单一日志，而是组合验证几类可靠线索。
直接查 install.log 系统安装记录/var/log/install.log 是最接近“安装日志”的原始文件，它记录了通过 Installer（.pkg）执行的安装、升级和卸载操作，包括时间戳、包名和结果状态。
- 打开终端，运行：
sudo cat /var/log/install.log | tail -30
查看最近30行安装事件（需输入密码授权）。 - 若想搜索某软件（如 Zoom），可用：
sudo grep -i "zoom" /var/log/install.log - 注意：该日志不收录 App Store 下载、拖拽安装或 Homebrew 安装的应用。
用 pkgutil 查所有已注册的 .pkg 包
所有通过安装器部署的软件都会在系统数据库中留下注册记录，pkgutil 可列出全部包 ID 和安装卷。
- 终端中执行：
pkgutil --pkgs
显示所有已注册 pkg 包（如com.google.Chrome）。 - 想知道某个包装在哪台硬盘上：
pkgutil --pkg-info com.google.Chrome
输出含volume:字段，指明安装位置。 - 若在外接盘装过 pkg，需加参数：
pkgutil --pkgs --volume /Volumes/MyDisk
结合 Spotlight 元数据推断拖拽/APP Store 安装时间
对于 .app 文件（如 VS Code、Slack），Spotlight 的 kMDItemDateAdded 字段通常等于首次放入 /Applications 的时间。
- 终端中运行：
mdls -name kMDItemDateAdded "/Applications/Slack.app" - 若返回为空，说明未被索引，先启用并等待：
mdutil -i on /Applications
然后等 2–5 分钟再重试。
交叉验证来源信息
打开“关于本机 → 系统报告 → 软件 → 应用程序”，查看列表中各 App 的“获得方式”：
- 显示“App Store”或“开发者ID”且“最后使用时间”很新 → 很可能是近期安装；
- 显示“未知”或空白 → 多为拖拽安装，此时依赖 Info.plist 创建时间；
- 进入 App 包内容 →
Contents/Info.plist→ “简介”里看“创建日期”，或终端执行：stat -f "%Sm" -t "%Y-%m-%d %H:%M:%S" "/Applications/AppName.app/Contents/Info.plist"
不复杂但容易忽略
