time machine 备份安全取决于备份盘是否独立加密，filevault 不自动保护备份；外置硬盘需勾选“加密备份磁盘”，网络备份须用加密.sparsebundle；apfs 快照非备份，需定期校验实体文件。

macOS 磁盘加密（FileVault）本身不自动保护 Time Machine 备份，备份是否安全，取决于备份目标是否独立启用加密——这是最常被忽略的核心前提。

Time Machine 备份盘必须单独加密

即使你的 Mac 启用了 FileVault，外置硬盘或网络位置上的备份数据默认仍是明文。系统不会同步密钥，也不会自动加密备份内容。

• 连接新外置硬盘后，在“系统设置 → Time Machine → 添加备份磁盘”中，务必勾选“加密备份磁盘”
• 系统会自动抹盘、格式化为 APFS 加密卷，并在首次备份时启用全盘加密
• 已存在的未加密备份盘若想转为加密，需先移除备份磁盘设置，再重新添加并勾选加密选项（原有备份会被清空）

网络备份需用 .sparsebundle 封装加密

普通 SMB 或 NAS 共享无法直接支持 Time Machine 加密备份。传输加密 ≠ 静态存储加密。

macOS Automator Services

部署和使用军舰的 macOS Automator 自动化服务集合。包含 5 个实用工作流：PDF转JPG、PNG重命名并转JPG、图像拼接、解压RAR、顺序命名图像文件。一键安装所有服务到 ~/Library/Services/ 目录。使用场景：(1) "安装我的自动化服务"，(2) "部署所有 Automato...

下载

• 推荐做法：在 NAS 上创建一个加密的 .sparsebundle 映像文件，挂载后作为本地磁盘使用
• 所有写入实时加密，卸载后整个文件就是自包含的加密备份包
• 避免将加密外置硬盘直连 AirPort 基站或 Time Capsule——这些设备不支持加密磁盘作为备份目标

APFS 快照 ≠ 备份，加密也不改变这一本质

本地快照只是原卷的时间点视图，不加密、不校验、不跨设备，一旦原盘损坏，快照全部失效。

• 外置 Time Machine 备份虽完整，但若未定期校验，可能因磁盘错误或中断导致静默损坏
• 校验不能只看快照是否存在，要落到实体：用 tmutil verifychecksums 检查 .backupdb 目录，或对导出的 .dmg 执行 hdiutil verify
• 快照堆积会挤占 SSD 空间，干扰 Spotlight 和 iCloud；升级后残留的 com.apple.os.update 快照常占数 GB 隐形空间

虚拟机与敏感数据需额外隔离

FileVault 对主机上以普通文件形式存在的虚拟机磁盘无直接保护作用。

• 建议将虚拟机磁盘文件存放在已加密的 APFS 卷内，或直接用加密 .sparsebundle 存储整个 VM 目录
• 企业环境可通过 MDM（如 Jamf）策略强制仅向加密本地磁盘备份，并禁用未加密目标
• 安全虚拟内存始终开启，但它只保护交换数据，不影响备份文件本身的加密状态