第三方应用在macos沙盒机制下所有持久化存储必须严格落在其专属容器目录~/library/containers//data/内，该路径由系统自动创建并绑定代码签名，不可绕过；子目录documents、application support、preferences、caches和tmp各司其职，外部路径如~/library/application support直接写入将触发operation not permitted错误。
第三方应用在 macOS 沙盒机制下，所有持久化存储必须落在其专属容器目录内，路径结构固定且不可绕过。核心位置是：~/Library/Containers/
容器根目录：Data 是主存储区
每个沙盒应用（如微信、VS Code、Obsidian）都有唯一 bundle ID（例如 com.tencent.xinWeChat），其完整容器路径为：
~/Library/Containers/com.tencent.xinWeChat/Data/
该目录下默认包含标准子目录，开发者应按用途归类存放：
- Documents/：用户生成内容，如笔记文件、项目文档——适合用户可见、可被 Finder 直接访问的文件
-
Library/Application Support/：应用运行所需持久化数据，如数据库、插件、配置模板（如
Streamdown/config.toml）、同步状态 -
Library/Preferences/：.plist 偏好设置文件（如
com.yourapp.plist），由 NSUserDefaults 自动管理 - Library/Caches/：可安全清理的临时资源（如缩略图缓存、网络响应副本），系统可能在空间紧张时自动清除
- tmp/：进程级临时文件，重启后不保证保留，不应存放需持久化的数据
为什么不能写到 ~/Library/Application Support？
对沙盒应用而言，~/Library/Application Support 属于沙盒外路径，直接写入会触发 Operation not permitted 错误。即使应用未启用沙盒，Apple 也强烈建议第三方应用使用容器路径——因为从 macOS 10.15（Catalina）起，所有通过 Mac App Store 分发的应用强制沙盒化；而从 macOS 14（Sequoia）起，系统更以代码签名绑定容器，进一步强化隔离。
若硬写外部路径，不仅违反 App Review 指南，还会导致 TCC（Transparency, Consent, and Control）拦截或被 Gatekeeper 阻断。
如何正确迁移或备份沙盒数据？
容器目录本身即可作为完整数据单元进行迁移或备份，无需额外处理：
- 备份时，直接复制整个
~/Library/Containers/com.example.app/Data/目录 - 重装应用后，将 Data 目录还原至相同路径，重启应用即可恢复全部状态（包括偏好、插件、本地数据库）
- 注意：不要仅复制子目录（如只拷 Library/Preferences），否则可能丢失关联状态（如 Application Support 中的 SQLite 文件依赖 Preferences 中的路径配置）
调试与定位技巧
快速确认当前应用容器路径：
- 终端执行：
ls ~/Library/Containers/ | grep -i "your-app-name" - 在 Finder 中按 ⌘+⇧+G，输入路径（如
~/Library/Containers/com.visualstudio.code/Data）直达 - 打开 Xcode → Window → Devices and Simulators → 选中设备 → Installed Apps → 右键目标 App → Download Container（适用于调试版）
