filevault 2启用后，系统启动需先解锁加密卷才能加载macos，登录密码即为解密凭证，仅授权用户可触发解密，恢复密钥或icloud用于应急解锁，休眠唤醒无需重输密码但关机重启必须重新解锁。

macOS 磁盘加密（FileVault 2）启用后，系统引导和自动解锁不是“一键跳过密码”的过程，而是严格遵循分阶段认证与密钥链协同的逻辑。它既保障启动前数据静态安全，又在可信环境下实现登录环节的无感解密。

启动阶段：加密卷处于锁定状态，需先解锁才能加载系统

FileVault 加密的是整个启动宗卷（包括 macOS 系统文件、/Users、/Library 等），因此开机后固件（Boot ROM）和恢复环境无法直接读取系统内容。必须满足以下任一条件，才能完成首次解锁：

• 有至少一个被授权的用户账户，在登录界面输入正确密码 —— 系统用该密码派生出用于解密卷主密钥（VMK）的密钥，再解密全卷加密密钥（FVEK），最终挂载启动宗卷
• 使用恢复密钥（48位数字串）或 iCloud 解锁凭证（需提前开启“允许我的 iCloud 帐户解锁我的磁盘”）进入恢复模式手动解锁

注意：此时蓝牙键盘/鼠标可能无法响应，因 FileVault 解锁发生在内核早期，驱动尚未加载；建议使用有线或已配对的 USB 输入设备。

PyCharm 2026.2.0.1 Mac版

PyCharm 2026.2.0.1 Mac版提供 JetBrains 官方 2026.2.0.1 版本安装包，适合在macOS系统上进行 Python 项目开发、运行、调试和测试。

下载

登录阶段：密码即解锁凭证，无需二次输入

一旦用户密码成功解锁启动宗卷，系统立即完成挂载并继续引导流程。后续登录界面中，同一用户再次输入相同密码时：

• 该密码不再用于重新解密磁盘（卷已解锁），而是用于验证账户身份、解密其登录钥匙串（Login Keychain）
• 其他未获授权的用户账户，即使密码正确，也无法登录 —— 因为他们没有被赋予“解锁启动宗卷”的权限，系统不会加载其主目录

休眠/唤醒与外置设备：解锁状态不跨会话持久化

FileVault 的解锁是会话级的，不是永久性挂载：

• Mac 进入休眠（hibernate，即 Safe Sleep）时，内存内容写入加密宗卷的 sleepimage 文件，此时宗卷仍保持解锁状态；唤醒时直接从内存恢复，无需重输密码
• 但若选择关机或重启，下次开机必须重新解锁启动宗卷
• 外置加密硬盘（如 Time Machine 备份盘）与 FileVault 无关，其自动挂载依赖钥匙串中是否存有对应密码，并设置为“始终允许” —— 这属于独立的磁盘挂载机制

多用户与恢复密钥：权限分离与应急通道

启用 FileVault 时，系统会询问哪些用户可解锁启动宗卷。这个授权决定影响整个引导链：

• 仅被勾选的用户才拥有解锁能力；未被勾选者即使知道管理员密码，也无法在登录界面触发解密流程
• 恢复密钥是脱离账户体系的独立凭证，由系统生成、用户保管或存至 iCloud，专用于账户失效、密码遗忘等极端场景
• 企业环境中，MDM 可统一托管恢复密钥，并强制要求至少一个用户授权，确保 IT 部门保有可控入口