macos的“完全磁盘访问权限”是tcc框架管控的按应用授予的权限，非全局开关；需在“系统设置→隐私与安全性→完全磁盘访问权限”中手动添加并重启应用；即使启用，访问icloud云盘、外接硬盘等仍需二次授权。
macOS 的“完全磁盘访问权限”不是一项可开关的全局功能，而是一个由用户手动授予特定应用的、受 TCC（Transparency, Consent, and Control）框架严格管控的授权项。它决定一个应用能否突破沙盒限制，读写桌面、文稿、下载、iCloud 云盘、外接硬盘，甚至部分系统级路径（如 /Library/Preferences）。没这个权限，很多文件操作会静默失败或报 Operation not permitted。
哪些应用需要它？
并非所有 App 都需要。只有那些真正要跨区域访问用户数据的应用才必须申请：
-
终端（Terminal）：执行
rsync全盘备份、挂载镜像、修改/etc/下配置时必需 - 远程管理类工具：如 SSH 启用/禁用操作（通过“系统设置 > 共享”触发）、Docker Desktop、TeamViewer
- AI 或本地文件处理型 App：如 WorkBuddy、Claw、某些笔记/搜索工具，需扫描桌面、文档、iCloud 等位置
- 备份与同步软件：如 Synology Active Backup for Business Agent、Carbon Copy Cloner
怎么添加和启用？
必须通过图形界面操作，无法用命令行绕过：
- 打开系统设置 → 隐私与安全性 → 完全磁盘访问权限
- 点击右下角锁图标，输入管理员密码解锁
- 点击“+”，在访达中定位到目标 App（如
/Applications/Utilities/Terminal.app或/Applications/WorkBuddy.app） - 确保该 App 行右侧的复选框已被勾选
- 关键一步：彻底退出该 App（右键菜单栏图标选“退出”，或 Activity Monitor 中确认进程已结束），再重新启动
为什么加了还报错？
“完全磁盘访问”只是准入门槛，macOS 对部分深层路径仍会二次弹窗索要显式授权：
- iCloud 云盘：
~/Library/Mobile\ Documents/com~apple~CloudDocs/首次访问会弹窗，必须点“好” - 外接硬盘：
/Volumes/MySSD/首次ls或浏览也会触发确认 - 某些
~/Library子目录（如~/Library/Mail）不包含在基础授权内，需单独触发 - Apple 芯片 Mac 还需额外运行
sudo killall -u $(whoami) Terminal（针对 Terminal）强制刷新内核策略
怎么验证是否生效？
别只信界面勾选，要用实际路径测试：
- 重启 App 后，在终端中运行：
ls ~/Desktop—— 应返回文件列表，而非 Permission denied - 测试 iCloud：
ls ~/Library/Mobile\ Documents/com~apple~CloudDocs/ - 测试外接盘：
ls /Volumes/（确认设备名后，再进具体卷） - 检查后台残留：
ps aux | grep WorkBuddy，有输出就用kill -9 [PID]清干净
