开启 macos filevault 需满足三项硬性条件：recovery hd 存在于启动卷、启动盘为 apfs 格式、管理员账户设强密码且禁用自动登录；启用方式分系统设置、终端命令、恢复模式三种，对应不同密钥管理策略；恢复密钥是解密唯一凭证，仅在密码全忘、重装系统或启动锁图标时生效；终端执行 fdesetup status 才能权威验证是否真正启用。
开启 macOS FileVault 全盘加密，核心是激活系统级磁盘加密，并确保恢复密钥可被安全、可靠地调用。它不是单点开关操作，而是一套需兼顾前提条件、启用路径与密钥管理的完整流程。
启用前必须确认的三项硬性条件
跳过检查直接点击“开启”容易卡在“正在启用”或后续失败。务必提前验证：
-
Recovery HD 存在且位于启动卷内：终端运行
diskutil list | grep "Recovery"，若无输出或显示为外接设备上的 Recovery，则 FileVault 无法启用； -
启动盘格式为 APFS：旧系统升级后可能仍为 HFS+，需先备份，再执行
diskutil apfs convert /转换； -
至少一个管理员账户已设强密码，且禁用“自动登录”：空密码、纯数字密码或启用自动登录会导致
fdesetup enable静默失败，系统设置中 FileVault 开关也会灰显。
三种启用方式及对应恢复密钥处理
不同场景适用不同路径，恢复密钥生成与保管方式也各不相同：
- 系统设置图形界面（推荐日常用户）：进入“系统设置 → 隐私与安全性 → 文件保险箱”，解锁后点击“打开文件保险箱”，选择“将恢复密钥保存到 iCloud”或“创建个人恢复密钥”。选 iCloud 方式需已登录并开启双重认证；选手动方式会显示 24 位密钥，务必抄写并离线存放（如打印后锁入抽屉），此密钥不会再次显示，也无法找回；
-
终端命令行（适合批量/脚本部署）：打开终端，先运行
fdesetup status确认关闭状态，再执行sudo fdesetup enable -recoverykey /tmp/key.txt。该命令将密钥写入本地文件，权限自动设为 600，比直接输出到屏幕更安全； -
恢复模式启用（系统无法进桌面时）：关机后长按电源键进启动选项 → 选“选项”→ 进入恢复模式 → “实用工具”→“终端”，运行
fdesetup enable -defer /Volumes/Macintosh\ HD（请将Macintosh HD替换为实际卷名，可用ls /Volumes查看）。终端会立即输出 24 位恢复密钥，必须当场记录。
恢复密钥的真实用途与使用时机
它不是备用密码，而是解密数据的唯一数学凭证，仅在以下情况生效：
- 所有用户账户密码均遗忘，且未启用 iCloud 恢复；
- 系统重装后首次启动，提示“输入恢复密钥以解锁磁盘”；
- 启动时出现灰色锁图标并要求输入密钥（常见于恢复模式下修复或迁移后）。
注意：iCloud 恢复密钥仅在登录同一 Apple ID 的其他可信设备上可查看；个人恢复密钥一旦丢失且密码遗忘，数据将永久不可恢复。
验证是否真正生效
别只看系统设置里的勾选框，终端执行 fdesetup status 才是权威判断：
- 返回
FileVault is On.表示已启用成功； - 返回
Converting: Yes（可通过diskutil apfs list | grep -A5 "FileVault"查看）说明仍在后台加密中，此时磁盘尚未完全保护； - 若返回
FileVault is Off.或报错，需回头检查前述三项前提条件。
