filevault是macos核心全盘加密防线，采用xts-aes-128算法实时加密启动磁盘，需手动启用以激活用户认证；操作路径为系统设置→隐私与安全性→filevault→开启，并务必妥善保管恢复密钥。
Mac 一旦被他人物理接触，数据就可能面临直接读取风险。防范这类泄露，关键不是“防网络攻击”，而是守住设备本地这道门——重点在加密、登录控制和硬件级防护。
启用 FileVault 全盘加密
这是最核心的防线。FileVault 使用 AES-128 算法加密整个启动磁盘，即使硬盘被拆下接到其他电脑上，没有你的登录密码也无法解密数据。Apple silicon Mac 虽默认启用底层加密，但必须手动开启 FileVault 才激活用户认证机制。
- 操作路径：菜单 > 系统设置 > 隐私与安全性 > FileVault > 点击锁图标解锁后选择“打开 FileVault”
- 务必保存好系统生成的恢复密钥（可选存储到iCloud或离线保管），它是在忘记密码时的唯一补救手段
- 开启后首次加密需数小时，期间 Mac 可正常使用；后续所有读写自动加解密，日常使用感知不明显
设置强登录密码并禁用自动登录
密码是 FileVault 解密和系统登录的统一凭证。弱密码等于把钥匙挂在门把手上。
- 密码至少8位以上，包含大小写字母、数字和符号（如 Tr0ub4d0ur!2026）
- 关闭自动登录：系统设置 > 用户与群组 > 登录选项 > 取消勾选“自动登录”
- 启用账户锁定策略（通过 macOS Security Compliance Project 工具可配置）：例如连续5次输错密码后锁定账户15分钟，有效阻断暴力尝试
控制唤醒与闲置访问权限
屏幕保护或睡眠状态不是保险柜，只是暂停界面。攻击者只需唤醒就能尝试登录。
- 设置唤醒需密码：系统设置 > 隐私与安全性 > “通用”下方勾选“进入睡眠或开始屏幕保护程序后立即要求输入密码”
- 缩短闲置自动锁屏时间：例如设为2分钟，避免离开时界面长时间暴露
- 用触发角快速锁定：系统设置 > 桌面与程序坞 > 触发角 > 将任一角设为“启动屏幕保护程序”，鼠标移至角落即刻锁屏
限制管理员权限与外部设备访问
物理接触下，拥有管理员权限的人几乎可以绕过大部分软件限制；USB等接口也是数据导出通道。
- 只保留必要人员为管理员，其余日常使用创建标准账户（无安装/修改系统权限）
- 禁用不必要的服务：如互联网共享、远程管理（系统设置 > 通用 > 共享中关闭）
- 限制外部存储访问：通过配置规则（如 os_external_storage_access_defined.yaml）禁止未授权USB设备自动挂载，防止拷贝敏感文件
