filevault 不提供备份加密，time machine 备份盘必须手动启用并验证 apfs 加密：运行 tmutil destinationinfo 和 diskutil apfs list 确认 encryption: yes 及 filevault: yes，拔插硬盘应弹密码框；警惕“假加密”，如访达右键加密、未勾选 apfs 加密格式、smb 共享或 hfs+ 未抹盘转换；明文可读即未加密；企业可用 mdm 日志与脚本批量验证。
FileVault 本身不负责备份加密，它只保护你 Mac 的启动磁盘。自动备份（如 Time Machine）是否安全，取决于备份目标是否独立启用加密——这个环节必须手动确认，不能依赖 FileVault 自动延伸。
验证 Time Machine 备份盘是否真正加密
即使你在“系统设置”里勾选了“加密备份磁盘”，也要实际验证加密是否生效，因为格式错误、挂载异常或旧格式残留都可能导致明文写入。
- 打开“终端”，运行：
tmutil destinationinfo | grep -i "encryption"
若返回 Encryption: YES，说明当前备份目标正在以加密方式接收数据 - 再运行：
diskutil apfs list | grep -A10 "YourBackupVolumeName"
查看输出中是否有 FileVault: Yes 或 Encrypted: Yes 字样（注意：此处的“FileVault”是 APFS 卷加密标识，不是系统级 FileVault） - 拔下外置硬盘后重新连接，系统应弹出密码输入框——这是最直观的加密挂载验证
识别常见“假加密”陷阱
有些操作看似启用了加密，实则未生效，容易误判为安全：
- 用“访达右键 → 加密磁盘”处理外置盘：该方式生成的加密卷无法被 Time Machine 使用（Apple 明确限制）
- 格式化时选了“APFS”但没勾选“（加密）”：备份数据仍以明文写入，FileVault 对其无影响
- 使用 SMB 网络共享作为备份目标：即使传输过程加密，硬盘上存储的备份文件仍是明文；只有挂载 .sparsebundle 映像才能保证静态加密
- 备份盘曾是 HFS+ 格式，仅靠“添加备份磁盘”时勾选加密，系统不会自动转换格式——必须先抹盘为 APFS(加密)
检查备份内容是否被加密写入
加密不是“开关一开就万事大吉”，关键看数据落盘时是否已加密。可做一次轻量验证：
- 在备份盘挂载状态下，进入其 Backups.backupdb/你的电脑名/Latest/ 目录
- 找一个近期新增的小文本文件（比如刚保存的备忘录），用文本编辑器直接打开该路径下的副本
- 如果能正常读出明文内容，说明该备份卷未启用加密或未正确挂载；加密卷中的文件无法被直接解析
- 注意：此操作需在未卸载、已解锁状态下进行，且仅用于验证，勿修改或删除备份结构
企业环境下的集中验证建议
若通过 MDM（如 Jamf）统一部署加密策略，除终端命令外，还可结合策略日志交叉验证：
- 检查设备策略执行记录中是否有 “TimeMachineDestinationEncrypted = true” 的上报状态
- 调取 /var/log/system.log 中与 backupd 和 diskarbitrationd 相关的日志，搜索关键词 “encrypted”、“APFSVolume”、“mount with encryption”
- 对批量设备，可用脚本批量采集 tmutil destinationinfo 输出并汇总分析加密状态覆盖率
