在 macos 恢复模式中通过“启动安全性实用工具”调整 apple 芯片 mac 的固件级启动策略，需先关机、长按电源键进入启动选项，选择“选项”后登录管理员账户，再从菜单栏选取“实用工具”>“启动安全性实用工具”，解锁加密磁盘后点击“安全策略”，可选“完整安全性”（默认，仅允最新签名系统）、“降低安全性”（支持旧版 macos 和内核扩展）或“宽松安全性”（需先禁用 sip，支持自定义内核），确认密码后重启生效。
在 macOS 系统恢复模式中重新配置硬件安全策略，本质是通过“启动安全性实用工具”调整 Apple 芯片 Mac 的固件级启动限制。这个操作不涉及软件层设置，而是直接影响系统能否加载未签名、旧版或自定义内核等组件，适用于安装特定驱动、调试内核、运行非 App Store 开发工具等场景。
确认机型与进入恢复模式
仅适用于搭载 Apple M 系列芯片（M1/M2/M3/M4）的 Mac。Intel 或 T2 芯片机型流程不同，不可套用。
- 先完全关机（不是重启）
- 按住电源键不放，直到屏幕出现旋转球与“正在载入启动选项”字样
- 点击齿轮图标旁的“选项”，再点“继续”
- 选择启动磁盘 → 下一步 → 输入管理员账户及密码 → 进入恢复环境
打开并解锁启动安全性实用工具
进入恢复后，顶部菜单栏选择“实用工具” → “启动安全性实用工具”。注意它不在主界面中央弹窗里，必须从左上角菜单进入。
- 若启动宗卷已启用 FileVault 加密，需先点“解锁”，输入登录密码解密磁盘才能继续
- 在左侧选择要配置的 macOS 安装宗卷（通常只有一个，名称如“Macintosh HD”）
- 点击右下角“安全策略”按钮
选择并应用对应的安全策略
三种策略对应不同使用需求，选错可能影响系统稳定性或安全性：
- 完整安全性：默认推荐。只允许当前最新签名的 macOS 启动，且联网验证签名。适合日常使用，无法加载 Kext 或旧系统
- 降低安全性：允许运行 Apple 签名过的任意历史版本 macOS（包括含已知漏洞的旧版）。安装某些专业驱动或测试旧系统时需要
-
宽松安全性：支持用户签名并启动自定义 XNU 内核，但必须先关闭 SIP（通过恢复模式终端执行
csrutil disable）
保存设置并重启生效
选好策略后点“好”，系统会提示输入管理员密码确认变更（即使刚输过也要再输一次）。
- 确认后点击左上角苹果菜单 → “重新启动”
- 重启后策略立即生效，无需额外操作
- 如需恢复默认，重复上述流程，选回“完整安全性”即可
