macos 加密磁盘映像仅支持单因素密码认证，不原生支持touch id、硬件令牌等多因子验证；可通过256位aes加密、禁用钥匙串保存、严格挂载流程及系统权限控制等方式增强安全防护。
macOS 的加密磁盘映像（.dmg 或 .sparseimage）本质是单因素认证机制：仅依赖一个强密码解锁，不支持密码+Touch ID、密码+硬件令牌等真正的双重加密认证。系统原生不提供多因子验证接口，但可通过操作规范与权限组合，在实际使用中逼近双重验证的安全效果。
磁盘工具创建加密映像的关键设置
所有安全基础始于创建环节的严谨配置：
- 加密必须选256位 AES 加密，而非128位——抗暴力破解能力显著更强
- 映像格式优先选“稀疏磁盘映像”（.sparseimage），自动按需扩容，避免预设容量浪费或不足
- 输入密码时务必取消勾选“记住此密码在钥匙串中”——这是实现“每次人工确认”的核心前提
- 名称建议用无意义代号（如“Kryo-9R”），避免暴露用途；路径可设为非默认位置（如“~/Documents/Archive/”），降低被批量扫描风险
挂载与访问过程中的安全纪律
系统不会强制你做第二件事，但你可以把以下动作固化为不可跳过的操作流程：
- 双击 .dmg 后，必须手动输入密码（禁用粘贴、禁用自动填充），输入前快速确认当前设备状态：是否刚从锁屏恢复？是否处于私密环境？屏幕是否被他人视线覆盖？
- 挂载成功后，立即核对桌面或访达侧边栏中出现的卷宗名称是否与预期一致（例如显示为“PrivateVault”而非“Untitled”），防范恶意替换的伪造映像文件
- 使用完毕后，必须通过右键点击卷宗 → “推出”，不能仅关闭窗口或拖入废纸篓——未推出的卷仍可能被进程缓存或临时读取
叠加系统级权限控制增强纵深防御
仅靠密码不够，需结合 macOS 自身权限模型形成多层隔离：
- 生成 .dmg 文件后，在访达中右键该文件 → “显示简介” → 展开“共享与权限”
- 点击右下角锁形图标（需输入管理员密码），将“组”和“其他人”权限全部设为“无”，确保即使文件被复制到共享目录，也无法被其他账户访问
- 若该映像长期存放于外置硬盘，建议对该硬盘本身也启用FileVault 全盘加密，形成“容器套容器”的嵌套保护
- 避免将加密 .dmg 存放在 iCloud Drive 或 Dropbox 同步文件夹内——云服务可能缓存未加密元数据或触发非预期挂载
无法绕过的核心限制与替代建议
需清醒认识 macOS 原生能力的边界：
- 没有 API 支持 Touch ID / Face ID 验证磁盘映像，所谓“生物识别解锁”在 .dmg 场景中不存在
- 不支持 TOTP 动态码、YubiKey 等硬件二次凭证，密码是唯一解锁入口
- 若需真正双因子，应转向企业级方案：如使用 APFS 加密宗卷 + 登录时绑定智能卡，或采用支持 FIDO2 的第三方加密容器（如 Cryptomator + WebAuthn 网关）
- 对极高敏感数据，建议配合物理隔离：加密映像仅存于离线硬盘，接入时全程断网，并在专用清洁系统中挂载
