macOS 系统完整性保护（SIP）核心原理与管理-Mac OS-PHP中文网

sip是macos内核级强制访问控制机制，锁定/system、/usr（不含/usr/local）、/bin、/sbin、/private/etc等路径及预装apple应用，通过com.apple.rootless属性和rootless.conf实时校验，禁用需在恢复模式执行csrutil命令。

macos 系统完整性保护（sip）核心原理与管理

系统完整性保护（SIP）不是简单的“开关”，而是 macOS 内核级的强制访问控制机制。它不依赖用户账户权限，也不受 root 密码影响——哪怕你以 root 身份运行 sudo rm -rf /System，系统也会直接拒绝并提示 “Operation not permitted”。这是因为 SIP 在内核启动早期就加载策略，通过扩展属性（com.apple.rootless）和配置文件（/System/Library/Security/rootless.conf）标记受保护对象，并在每次文件访问、进程注入或内核模块加载时实时校验。

受保护的核心区域有哪些

SIP 锁定的是操作系统运行所依赖的“不可变基座”，主要包括：

/System：全部子目录，包括 /System/Library/Extensions（kext 存放处）和 /System/Library/CoreServices（即使禁用 SIP，部分路径仍只读）
/usr（不含 /usr/local）：系统命令与库，如 /usr/bin/ls、/usr/lib/dyld
/bin 和 /sbin：基础 shell 工具与系统管理命令
/etc、/tmp、/var 的符号链接目标（即 /private/etc 等），这些路径虽为链接，但指向内容同样受保护
所有预装 Apple 应用（如 Safari、Finder），无论是否在 /Applications 中，其二进制与资源均被签名绑定

为什么普通安装不受影响

SIP 的设计是隔离而非封锁。它明确区分“系统”与“用户空间”：

macos-suite-readonly

macOS 只读查询：Mail 未读、Calendar 日程、Notes 搜索、Stocks 行情（输出 JSON）。

下载

✅ 允许自由写入：/Applications、~/Applications、/usr/local、/Library（非系统级）、~/Library
✅ 允许运行任意应用：只要不尝试修改受保护路径或注入系统进程，App Store 外下载的软件可正常安装、启动、读写自身沙盒
❌ 明确禁止：sudo cp 覆盖 /usr/bin/python3、launchctl load 加载未签名 kext、lldb 附加到 Dock 进程

如何安全地调整 SIP 状态

所有 SIP 配置变更必须在恢复模式下完成，且需重启生效。操作逻辑统一，但 Apple Silicon 机型有额外步骤：

查看当前状态：终端中直接运行 csrutil status，无需重启
完全禁用（Intel）：进入恢复模式 → 终端执行 csrutil disable → 重启
完全禁用（Apple Silicon）：进入启动选项 → 进入恢复 → 终端依次执行：
csrutil disable
csrutil authenticated-root disable（缺一不可，否则根卷仍只读）
选择性放宽：例如仅允许调试工具，用 csrutil enable --without debug；仅允许未签名 kext，用 csrutil enable --without kext
恢复默认保护：任何修改后，都应尽快执行 csrutil enable 并重启