filevault启用前必须确认设备固件最新、macos≥ventura、启动盘为apfs格式；四类高危场景（boot camp双系统、老旧airport备份、target disk mode、mdm未适配）应暂缓开启；恢复密钥须手写离线保存，禁用icloud同步。
macOS 存储加密（如 FileVault 或 APFS 加密）本身是提升数据安全的核心手段，但若配置不当或忽略使用场景，反而可能引入新的系统风险。关键不在于“该不该开”，而在于“怎么开、何时开、配合什么用”。
FileVault 启用前必须确认的硬件与系统条件
Apple Silicon Mac 默认启用底层磁盘加密，但 FileVault 是用户层认证开关——它控制是否需要密码才能解密启动卷。启用前需确认：
- 设备固件为最新：旧版 EFI 可能导致加密后无法正常唤醒或恢复，尤其在 2017–2019 款 iMac/MBP 上曾出现过启动卡顿问题
- macOS 版本 ≥ Ventura（13.0）：早期 Monterey 存在 FileVault 与 Time Machine 备份冲突的已知 Bug，备份中断可能导致加密元数据损坏
- 启动磁盘为 APFS 格式：HFS+ 卷无法启用 FileVault；若仍为 HFS+，需先迁移至 APFS（通过磁盘工具“转换为 APFS”）
四类高危场景下应暂缓或关闭 FileVault
不是所有环境都适合开启全盘加密。以下情况开启后易引发不可逆故障：
- 使用 Boot Camp 或双系统引导：FileVault 会干扰 Windows 分区识别，部分机型（如 2018 MBP）在加密状态下无法从 Windows 启动项进入 macOS 恢复模式
- 连接老旧 AirPort 基站做 Time Machine 备份：加密外置硬盘无法挂载到 AirPort 基站，且 FileVault 开启后，Time Machine 本地快照可能因密钥链同步失败而中断
- 频繁使用 Target Disk Mode（目标磁盘模式）：另一台 Mac 读取加密卷时需输入密码，若无图形界面（如命令行 Recovery 模式），将无法挂载
- 企业 MDM 管控未适配加密流程：部分旧版 Jamf 或 Mosyle 策略未正确注入 FileVault 恢复密钥，会导致远程解锁失败，设备变砖
恢复密钥与密码管理的实操红线
FileVault 的最大风险不在加密过程，而在密钥丢失后的不可恢复性。苹果不保存你的密钥，一旦遗忘，数据即永久锁定：
- 禁用 iCloud 自动同步恢复密钥：README.md 第 242 节明确警告，iCloud 存储密钥等于将保险箱钥匙挂在云端门上
- 必须手写并离线保存 24 位恢复码：打印后存入防火保险柜，或刻录在金属密钥卡上，切勿仅存于 Notes 或 iCloud 文稿
- 避免使用单一密码解锁多个卷：若主系统卷和外置加密盘共用同一密码，任一泄露即全线失守；建议用密码管理器生成独立强密码
加密状态下的日常运维注意事项
开启 FileVault 后，系统行为会发生细微但关键的变化：
- 首次启用后，后台加密需数小时至数天（取决于磁盘容量与使用频率），期间不要强制关机或断电
- 睡眠唤醒延迟增加约 1–3 秒（Apple Silicon 影响小，Intel 机型较明显），属正常现象，非性能故障
- 无法通过“访达”右键直接加密已有卷——必须用“磁盘工具”抹掉重格式化，或改用 FileVault 保护整个启动盘
- 若需临时禁用加密（如送修），务必先在恢复模式下用
fdesetup disable命令安全关闭，而非直接关闭设置开关
