macos沙盒应用报“operation not permitted”是因沙盒机制拦截未授权路径访问，而非权限设置错误；默认仅容器目录（如~/library/containers//）可自由读写，其他路径需通过nsopenpanel获取用户授权并用安全书签持久化访问凭证。
macOS 沙盒容器应用报“Operation not permitted”或“You don’t have permission to view it”，通常不是文件归属或 chmod 设置错误，而是沙盒机制在起作用——系统按设计拒绝未授权路径的访问，而非权限损坏。
沙盒容器的默认可访问范围
沙盒应用启动时，系统自动创建专属容器（位于 ~/Library/Containers/
- ~/Documents、~/Desktop、~/Downloads
- 外接磁盘（如 /Volumes/MyDisk）
- 其他 App 的容器目录
——都默认被拦截。即使路径存在且 POSIX 权限正确，也会因沙盒策略返回 EACCES 或 EPERM 错误。
如何确认是否真被沙盒拦截
不要直接假设是 chmod 或用户组问题。先做这几步验证：
macOS Automator Services
下载
部署和使用军舰的 macOS Automator 自动化服务集合。包含 5 个实用工作流：PDF转JPG、PNG重命名并转JPG、图像拼接、解压RAR、顺序命名图像文件。一键安装所有服务到 ~/Library/Services/ 目录。使用场景：(1) "安装我的自动化服务"，(2) "部署所有 Automato...
- 运行
ls -lOe ~/Documents，若输出含restricted或com.apple.quarantine，说明该路径受沙盒或 TCC 管控 - 检查错误发生时的操作：是否在没经用户选择的前提下，硬编码访问
~/Documents/file.txt？ - 开启 TCC 日志：
sudo tccutil reset AllFiles && sudo defaults write /Library/Preferences/com.apple.TCC LogEnabled -bool true，再查/Library/Logs/TCC/tcc.log，搜索你的 Bundle ID，看拒绝类型是kTCCServiceSystemPolicyAllFiles还是kTCCServiceFileProviderDomain
合规获取长期文件访问权的关键步骤
绕过沙盒不可取，也不被 App Store 接受。正确做法是让用户主动授权，并用安全书签持久化访问凭证：
- 首次启动时调用
NSOpenPanel，设canChooseDirectories = true，让用户选中目标文件夹（如 Documents） - 用户确认后，立即执行
url.startAccessingSecurityScopedResource()；读写完成后必须配对调用url.stopAccessingSecurityScopedResource() - 调用
url.bookmarkData(options:)生成书签数据，存入自身容器内（例如：FileManager.default.urls(for: .applicationSupportDirectory, in: .userDomainMask).first?.appending(path: "bookmarks.dat")） - 下次启动时，从本地读取 bookmarkData，用
URL.resolvingBookmarkData(_:)恢复 URL，并再次startAccessing才能读写
Info.plist 与 entitlements 必须匹配
缺少对应权限声明，哪怕用户点过授权也无效：
- 在
Info.plist中添加键：com.apple.security.files.user-selected.read-write，值为true - 若需访问下载目录，加
com.apple.security.files.downloads.read-write - Xcode Capabilities 中勾选 “User Selected File Access” 可自动生成，但务必手动打开 plist 核对是否生效
- 修改后必须重新签名：
codesign --force --deep --sign - /Applications/YourApp.app
不复杂但容易忽略：书签存储位置必须在自身容器内，start/stop 必须成对，Info.plist 权限和实际操作类型必须一致。三者缺一，重启后必报错。
