macos 安全性需手动检查多处：系统报告确认secure enclave、full security启动策略及无风险kext；控制台筛选kernel/amfi/sip/trustd日志；终端执行csrutil、spctl、log等命令验证sip、gatekeeper、防火墙及filevault状态。
macOS 没有“一键生成”的系统安全性报告，它不提供类似 Windows 安全中心那样的汇总式评分界面。真正的安全性状态，藏在系统自带的多个诊断工具和日志中——你需要知道去哪里找、怎么看关键字段、哪些值代表真实风险。
用“系统报告”快速掌握基础安全配置
这是最直观的起点，能确认硬件级安全机制是否启用：
- 打开方式：按住 Option 键，点苹果菜单 → “系统信息”，或进入“系统设置”→“通用”→“关于本机”→“系统报告”
- 重点关注“硬件”下的“安全隔区”状态：显示“已启用”说明 Secure Enclave 正常工作
- 在“软件”→“系统软件”里核对“安全启动策略”：Apple 芯片 Mac 应为 Full Security（非 Reduced 或 Medium）
- 展开“内核扩展”列表，检查是否有来源不明、未签名或已弃用的第三方 kext（尤其带“driver”“filter”字样的）
从控制台提取真实的安全事件日志
图形界面的“控制台”容易漏掉早期警告，必须手动筛选原始记录：
macOS Automator Services
下载
部署和使用军舰的 macOS Automator 自动化服务集合。包含 5 个实用工作流：PDF转JPG、PNG重命名并转JPG、图像拼接、解压RAR、顺序命名图像文件。一键安装所有服务到 ~/Library/Services/ 目录。使用场景：(1) "安装我的自动化服务"，(2) "部署所有 Automato...
- 打开“控制台”应用，在左侧选“报告”→“系统日志”，用搜索框输入：process: kernel AND (error OR panic OR "security violation")
- 重点看时间戳靠近重启前的日志，留意含 AMFI（Apple Mobile File Integrity）、SIP（System Integrity Protection）、trustd 的条目
- 若发现大量 AMFI: Deny 记录，说明某进程试图加载未签名代码，需结合进程名定位可疑应用
终端命令直查关键安全指标
绕过 GUI 延迟，获取更完整、更底层的状态快照：
- 检查 SIP 状态：
csrutil status—— 返回 enabled 才是正常；若为 disabled，需进恢复模式重开 - 列出所有已安装的登录项与辅助功能授权：
defaults read com.apple.loginitems和tccutil reset Accessibility（后者可重置权限，用于排查越权访问） - 查最近 24 小时内被 Gatekeeper 阻止的 App：
log show --predicate 'eventMessage contains "Gatekeeper" and eventMessage contains "deny"' --last 24h
识别高风险信号而非仅看“无报错”
没有红色错误不等于安全。以下现象值得立即跟进：
- 系统报告中“启动磁盘”显示“宗卷类型：APFS（未加密）”且未启用 FileVault —— 整盘数据无静态保护
- 控制台反复出现 trustd: failed to verify signature，尤其来自常用 App 目录，可能遭遇证书篡改或恶意注入
- 终端执行
spctl --status返回 assessments disabled，表示 Gatekeeper 已被全局关闭 - “系统报告”→“网络”→当前接口下，“防火墙”状态为“已停用”，且未使用第三方替代方案
