恢复密钥是 filevault 加密卷的唯一解密凭证，必须离线、隔离、可控保存：手写纸质版存保险柜，禁用任何数字存储；避免与设备同处一地；慎用 icloud 恢复；每半年验证有效性。
保护 macOS 加密卷（尤其是 FileVault 启动盘）的恢复密钥，核心在于“离线、隔离、可控”——它不是密码，而是唯一能绕过登录密码解密整个磁盘的钥匙，一旦泄露或丢失，就等于交出全部数据控制权。
恢复密钥必须离线保存
系统生成的 24 位恢复密钥（如 ABCD-EFGH-IJKL-MNOP-QRST-UVWX）绝不能仅存于 Mac 本地或联网服务中：
- 不要截图、不要存进备忘录（即使 iCloud 同步关闭）、不要发邮件、不要上传网盘；
- 不要用任何云笔记、聊天工具、截图自动同步功能保存；
- 推荐方式：用笔抄写在纸上，放入物理保险柜或家中安全角落；
- 如需多份备份，可打印两份，分别存放于不同地点（如办公室抽屉 + 家中保险箱）。
避免与设备共处同一风险环境
密钥的安全性取决于它的物理隔离程度：
- 切勿将密钥纸条和 Mac 放在同一背包、抽屉或房间内——盗窃或火灾可能同时摧毁设备与密钥；
- 不要拍照后存在手机里，尤其当手机未加密或已越狱；
- 若使用加密 USB 或硬件安全模块（HSM）存储密钥文件，需确保该设备本身有强密码且不常连接网络。
谨慎对待 iCloud 恢复选项
选择“用 iCloud 账户解锁”看似方便，但实际依赖账户安全水位：
- 必须已开启双重认证，且信任设备可信度高；
- 若 Apple ID 被钓鱼或社工攻破，攻击者可能借此重设并接管加密磁盘；
- 企业或教育机构管理的 Mac，恢复密钥可能由管理员统一保管，此时应确认机构密钥管理策略是否合规、审计是否透明。
定期验证密钥有效性
密钥不是“存好就完事”，建议每半年做一次低风险验证：
- 重启 Mac，在登录界面点击密码框旁的问号 → 选“使用恢复密钥”；
- 输入密钥（注意大小写与连字符），确认能正常进入系统（不必真重设密码）；
- 若验证失败，说明密钥抄错或系统变更导致失效，需立即重新启用 FileVault 并获取新密钥。
恢复密钥不是可选配件，而是 FileVault 的安全基石。它不复杂，但极易因一时便利而埋下隐患。
