macOS沙盒应用的持久化存储权限由系统自动授予，无需手动开启；其默认可持久读写自身容器目录（如Documents、Application Support等），访问沙盒外资源需通过文件选择器、iCloud配置或钥匙串声明等明确授权。
macOS 应用沙盒内的持久化存储权限不是由开发者自行开启，而是由系统在安装或首次运行时依据 App Sandbox 配置 和 用户实际操作行为 自动授予或提示授权。你无法在“隐私与安全性”中手动勾选“沙盒内持久化存储”，因为它本身不作为独立权限项存在——它被封装在文件访问、iCloud、钥匙串、辅助功能等具体能力中。
沙盒应用能存哪些数据？
沙盒限制下，每个 App 默认只能读写自己专属的容器目录（~/Library/Containers/xxx.app），包括：
- Documents：用户显式保存的文件（如通过“另存为”或拖入窗口）
- Application Support：配置、缓存、数据库等后台数据
- Caches：可被系统自动清理的临时内容
-
Preferences：通过
NSUserDefaults写入的设置项
这些路径天然具备持久性，重启或重开 App 后数据仍在，无需额外授权。
突破沙盒边界需明确请求
当 App 需要访问沙盒外位置（如桌面、文稿、外接硬盘、其他 App 容器），必须触发对应权限流程：
macOS UI 自动化技能包 —— 用 Python 控制你的 Mac
下载
让 macOS 自动化像说话一样简单 —— 用代码控制你的 Mac，无需学习 AppleScript 系统要求 macOS 14+ (Sonoma) Python 3.9+ 需要开启：辅助功能 + 屏幕录制权限
- 读取用户选择的文件 → 触发 安全范围（Security Scoped Bookmarks） 或 Open Panel 权限，仅对选中路径有效
- 写入下载目录 → 需在 Info.plist 中声明
NSDocumentsFolderUsageDescription并调用NSSavePanel - 访问 iCloud Drive → 在 Xcode 中启用 iCloud Capability，并声明
Ubiquity Container Identifiers - 使用钥匙串 → 声明
keychain-access-groupsEntitlement，并指定访问组
调试与验证沙盒行为
开发或排查时，可通过以下方式确认持久化是否生效：
- 终端执行：
ls ~/Library/Containers/com.example.myapp/Data/Documents/查看实际写入位置 - 在 Xcode 的“Signing & Capabilities”中检查 App Sandbox 是否开启，以及勾选了哪些 File Access 子项
- 运行时打印容器路径：
NSFileManager.default.containerURL(forSecurityApplicationGroupIdentifier: nil) - 若发现数据丢失，优先检查是否误用了
tmp目录（该路径不持久）或未正确保存 Bookmark
用户侧无须手动配置，但需留意提示
普通用户不会在“系统设置 > 隐私与安全性”里看到“沙盒存储”条目。但可能遇到这些弹窗：
- “xxx 想访问你的‘文稿’文件夹” → 点击“好”后，App 获得该路径的临时书签权限
- “xxx 需要 iCloud 权限” → 在系统弹窗中登录 Apple ID 并允许
- “xxx 请求辅助功能权限” → 用于自动化操作（如自动填充表单），需手动添加到“辅助功能”列表
这些授权一旦给予，只要 App Bundle ID 和签名不变，就会持续有效；更换签名或重装可能导致权限重置。
