APFS 卷的加密与解锁自动化脚本实现-Mac OS-PHP中文网

apfs卷加密与解锁无法完全静默自动化，但可在受控环境下通过diskutil、钥匙串预配置及applescript桥接实现近“一键”操作：加密需用户授权写入钥匙串，解锁则依赖钥匙串自动凭证填充，关键在于预设密码、解锁钥匙串权限并正确配置访问控制。

apfs 卷的加密与解锁自动化脚本实现

APFS 卷的加密与解锁无法通过标准命令行工具（如 diskutil）完全静默自动化，尤其涉及用户密码交互和钥匙串授权环节。但可在受控环境下，结合系统策略、钥匙串预配置与 AppleScript 桥接，实现接近“一键”操作。

加密 APFS 卷：需人工确认但可预设参数

使用 diskutil apfs encryptVolume 可启动加密，但首次执行时会弹出图形密码框并要求输入登录密码以授权密钥写入钥匙串——这无法跳过。不过可提前指定加密选项，避免后续交互：

运行前确保目标卷未加密且已挂载（如 /Volumes/SecureData）
用 --passphrase 指定密码（仅限命令行输入，不推荐明文脚本中硬编码）
更安全的做法是配合 security add-generic-password 预存密码到钥匙串，再用 AppleScript 模拟触发加密并自动填充
加密过程后台运行，耗时取决于卷大小，脚本可通过轮询 diskutil apfs list 中 Encryption Progress 字段判断完成状态

解锁已加密卷：可实现免交互自动挂载

若加密时已将密码保存至当前用户的登录钥匙串（默认行为），则后续解锁可完全自动化：

Raphael AI

一款AI图像生成工具，可根据文字描述生成图片，适合进行创意视觉探索、插画制作和多种图像创作任务。

下载

使用 diskutil apfs unlockVolume /dev/diskXsY，系统自动从钥匙串读取匹配凭证
若钥匙串项被锁定或访问权限受限，需先运行 security unlock-keychain 解锁登录钥匙串
可配合 launchd 在登录时自动执行解锁（需配置 KeepAlive 和钥匙串访问权限）
注意：若卷使用自定义密码（非登录密码）且未显式保存到钥匙串，则仍会弹窗；此时需用 security find-generic-password -w 提取密码并传给 diskutil 的 --passphrase 参数

绕过图形弹窗的关键：钥匙串权限与访问控制

自动化失败的主因常是钥匙串访问控制限制。必须为调用脚本的进程（如 bash、osascript）显式授权：

用 security set-keychain-settings -u 确保登录钥匙串在用户登录后自动解锁
对特定钥匙串项（如 APFS 卷密码），右键“显示简介”→“访问控制”，添加脚本所用二进制路径（如 /usr/bin/security 或 /usr/bin/osascript）
若脚本由 launchd 运行，需在 plist 中设置 SessionCreate = true 并指定正确的 UserName

轻量级封装示例（Bash + AppleScript）

以下片段用于自动解锁已知设备标识的加密卷（假设密码已存入钥匙串）：

#!/bin/bash
VOL_ID="disk2s3"
KEYCHAIN_PW=$(security find-generic-password -s "APFS-Unlock-$VOL_ID" -w 2>/dev/null)

if [ -n "$KEYCHAIN_PW" ]; then
  echo "Unlocking $VOL_ID with stored password..."
  diskutil apfs unlockVolume "/dev/$VOL_ID" --passphrase "$KEYCHAIN_PW"
else
  echo "Falling back to keychain auto-fill..."
  osascript -e "do shell script \"diskutil apfs unlockVolume '/dev/$VOL_ID'\" with administrator privileges"
fi

该脚本优先尝试读取显式保存的密码，失败则交由 AppleScript 触发系统级解锁流程（仍可能弹窗，但无需手动输入）。生产环境建议配合配置管理工具统一部署钥匙串项与权限。