macos系统更新前后完整性验证需分三阶段：更新前校验版本基线、磁盘空间及安装源哈希；更新中验证pkg签名与gatekeeper状态；更新后通过softwareupdate --history、sw_vers、kmutil及csrutil交叉确认版本生效与安全机制完好。
macOS 系统更新前后的完整性验证不是一次点击就能完成的事，而是分阶段、有依据的闭环动作：更新前确认系统底子可靠，更新中确保安装包真实可信，更新后验证版本生效且关键组件未损坏。整个过程不依赖“看起来正常”，而靠命令输出、签名状态和结构比对来下结论。
更新前：校验系统基础与安装源可信度
别急着点“立即升级”，先让系统自己说句话：
- 运行 sw_vers 和 uname -r，记录当前版本号与内核版本，作为后续比对基线
- 检查磁盘空间：df -h / 确认根分区剩余 ≥25 GB（系统更新包解压+临时文件需额外空间）
- 验证安装源完整性：若从 Apple 支持页下载 .pkg 补丁，用 shasum -a 256 对比官网公布的 SHA-256 值；若用“软件更新”界面触发，则跳过此步（系统已内置签名验证）
- 确认 Gatekeeper 未被绕过：spctl --status 应返回 “assessments enabled”，避免因安全策略关闭导致后续验证失效
更新中：盯住安装包签名与加载状态
安装过程无声无息，但关键信号藏在终端里：
- 双击 .pkg 安装时，终端可同步执行：codesign -dv /path/to/Installer.pkg，确认 Authority 字段含 “Apple Root CA” 或 “Apple Distribution”
- 若提示“无法验证开发者”，不要直接点“仍要打开”——先查证书时效：security find-certificate -p login.keychain | openssl x509 -noout -dates
- 安装完成后、重启前，运行 pkgutil --pkgs | grep -E "(Security|macOS|Update)"，确认补丁包名已出现在列表中
更新后：三重验证版本落地与功能完好
重启进系统后，不能只看“关于本机”里的版本号，要交叉验证：
- softwareupdate --history 查最近安装记录，确认条目含更新名称（如 “macOS 15.4.1 Update”）及时间戳
- sw_vers 输出应与 Apple 官方公告版本一致；若仍显示旧版，可能是仅更新了辅助组件（如字体、词典），需查该补丁说明文档
- 关键服务校验：sudo kmutil showloaded | grep -i amfi 确认 AMFI（Apple Mobile File Integrity）已加载；csrutil status 确保 SIP 处于启用状态
- 功能级抽检：尝试调用系统自带工具（如 diskutil list、system_profiler SPSoftwareDataType），无报错即说明核心框架未损坏
异常情况快速定位路径
发现版本未变、功能异常或启动卡顿，按顺序排查：
- 先看 log show --predicate 'eventMessage contains "softwareupdated"' --last 24h，过滤系统更新服务日志
- 检查 /Library/Logs/InstallHistory.plist，确认安装条目中 date 和 title 字段是否完整
- 若怀疑镜像损坏，挂载安装器 App 中的 Contents/SharedSupport/InstallAssistant.pkg，对其运行 pkgutil --analyze 查签名完整性
- 连续两次更新失败，建议进入恢复模式运行 diskutil apfs repairVolume /dev/diskXsY（X/Y 替换为实际卷标识）
