macos透明加密核心是自动加解密且无感使用；filevault为原生全盘加密方案，仅限启动卷，基于xts-aes-128，依赖t2/m芯片加速；外接设备需手动加密为apfs；第三方工具可实现细粒度策略与跨平台管控。
macOS 环境下敏感数据的透明加密保护，核心在于“自动加解密 + 无感使用”。它不是让用户每次打开文件都输密码，而是在系统底层实时拦截读写操作：文件存入时自动加密，读取时自动解密，全程无需手动干预，也不改变日常办公习惯。
FileVault 是 macOS 原生透明加密方案
FileVault 是苹果官方提供的全盘透明加密工具，适用于启动磁盘（即系统盘）上的所有用户数据。它基于 XTS-AES-128 算法，在内核层实现加解密，对 Finder、Office、浏览器等应用完全透明。
- 启用后，Mac 开机或唤醒时需输入登录密码才能解密磁盘并进入桌面
- 支持 iCloud 密码恢复或本地恢复密钥两种解锁方式，二者选一即可
- 配备 Apple T2 或 M 系列芯片的 Mac，硬件已提供 AES 加密加速，性能影响几乎不可察觉
- 注意：FileVault 不加密外接硬盘或移动设备，仅作用于启动卷
可移动介质的透明加密操作
U 盘、移动硬盘等外接设备也可实现透明加密，但需手动触发，且会格式化为 APFS（旧版 macOS 可能无法识别）。
- 在访达中按住 Control 键点击设备图标，选择“对[名称]进行加密”
- 设置强密码并妥善保存——没有密码将永久丢失数据
- 加密过程后台运行，不影响其他操作；完成后插入任意支持 APFS 的 Mac 即可自动解密访问
- 解密同理：Control+点击 → “对[名称]进行解密”
企业级透明加密软件补充场景
FileVault 保护的是静态存储数据，若需更细粒度控制（如只加密特定类型文件、限制复制/打印/截屏、跨平台策略统一），可部署第三方透明加密软件：
- 安秉网盾：支持 macOS，可按文件类型、路径、用户角色设定加密策略，外发文件需审批，留痕可审计
- VeraCrypt：开源免费，适合创建加密卷（如“财务资料.vc”），挂载后像普通文件夹使用，卸载即锁定
- Symantec / McAfee 端点加密：面向企业 IT 管理，支持集中策略下发、密钥托管和合规报告
关键注意事项
透明加密有效，但依赖正确配置和用户意识：
- FileVault 启用后务必记录恢复密钥或绑定可信 iCloud 账户，否则密码遗忘=数据永久锁定
- 加密不等于备份——仍需配合 Time Machine 或云备份，防止误删或勒索软件破坏
- 屏幕共享、远程协助、截图工具可能绕过文件级加密，敏感操作建议关闭相关权限
- 已加密文件一旦被复制到未加密环境（如邮件附件、网盘上传），将失去保护，需配合DLP策略管控外发行为
