filevault仅加密静态数据，传输中文件为明文，需单独加密；time machine备份需手动启用加密选项；apfs加密磁盘不兼容旧版macos及windows/linux；企业环境可集中托管恢复密钥；加密对性能影响极小但首次启用耗时较长。
macOS 磁盘加密本身不改变数据传输行为，但会显著影响读写过程中的安全边界——加密保护的是静态数据（at rest），而非传输中（in transit）或运行时（in use）的数据。是否安全，取决于你用什么方式传、传给谁、以及目标设备能否识别加密格式。
FileVault 加密对数据传输的实际影响
启用 FileVault 后，整个启动盘在物理层面被 XTS-AES 128 位加密，但系统登录后自动解密并正常读写。这意味着：
- 通过 AirDrop、邮件附件、iCloud 同步等方式传出的文件，本身不继承 FileVault 加密——它们是明文副本，需单独加密（如 ZIP 密码、Mail Drop 加密附件）；
- Time Machine 备份到外置硬盘时，若目标盘未启用加密，备份数据以明文形式存储；只有开启 Time Machine 的“加密备份磁盘”选项，才会对备份宗卷单独加密；
- 网络共享（如 SMB/AFP）导出的文件，同样为解密后的明文，不受 FileVault 保护；
- 剪贴板、内存缓存、Quick Look 预览等临时操作，均基于已解密内容，存在侧信道风险（如冷启动攻击极罕见，但理论上可能）。
可移动介质加密后的跨设备兼容性限制
使用“访达右键 > 对[磁盘]进行加密”或“磁盘工具 > 抹掉+加密”，会将设备格式化为 APFS 并启用加密。这带来两个关键约束：
- macOS 版本向下不兼容：运行 macOS 10.12（Sierra）及更早版本的 Mac 无法挂载或读取该磁盘；
- 非 Apple 系统完全不可读：Windows、Linux 默认无法识别 APFS 加密卷，即使知道密码也无法访问；
- 若需跨平台使用，应避免 APFS 加密，改用第三方工具（如 VeraCrypt）创建跨平台加密容器，或使用 macOS 原生的“磁盘工具 > 新建映像 > 加密”生成 .dmg 文件（支持 AES-128，兼容性更好）。
企业环境下的集中管控与恢复密钥策略
在 Intune 或 Apple Business Manager 管理的设备上，FileVault 不仅启用加密，还强制密钥托管：
- 恢复密钥由 Intune 自动捕获并安全存储，管理员可在控制台查看或轮换，避免用户丢失密码导致数据永久锁定；
- 策略可设定“仅允许托管密钥”模式，禁用 iCloud 备份恢复密钥，防止密钥脱离组织控制；
- 加密启动阶段（即输入登录密码前）会阻止蓝牙键盘/鼠标连接，这是安全设计——防止通过外设注入攻击绕过登录界面。
读写性能与安全权衡建议
XTS-AES 128 在现代 Mac 上几乎无感知延迟，但需注意：
- 首次启用 FileVault 时，后台加密耗时较长（尤其机械硬盘或大容量 SSD），期间读写照常，但磁盘 I/O 负载略高；
- 加密 USB 设备（如用“访达右键加密”）后，每次插拔都需手动输入密码挂载，不适合频繁热插拔场景；
- 若对性能极度敏感（如视频编辑缓存盘），建议将工作区放在未加密高速 SSD，敏感素材单独存于加密 .dmg 或加密外置盘。
