升级 macos 后 sip 状态可能意外关闭，需用 csrutil status 查看是否启用，再通过 sysctl -n kern.securelevel（返回 1 才生效）、固件密码设置、关键路径所有权、gatekeeper 状态及 amfi 模块加载情况交叉验证，并在恢复模式中执行 csrutil enable 重新启用。
升级 macOS 后，SIP（系统完整性保护）状态可能因安装过程异常、固件配置变动或人为干预而意外关闭。这不是小概率事件——尤其在跨大版本升级（如 macOS 14 → 15）或使用自定义安装包时，SIP 可能被临时禁用且未自动恢复。
直接确认当前 SIP 是否启用
打开终端，输入：csrutil status
回车后若显示 System Integrity Protection status: enabled，说明已正常启用；若为 disabled，则防护已失效，需立即处理。
不能只信这一条命令
SIP 状态需交叉验证，避免误判：
- 运行
sysctl -n kern.securelevel：返回1才代表内核级保护真正激活；返回-1或报错，说明 SIP 虽显示启用，但未实际生效（常见于 Apple Silicon 机型用错恢复模式指令） - 检查固件密码：若未设置，即使 SIP 启用，攻击者仍可通过外接启动设备绕过。路径是「系统设置 → 隐私与安全性 → 固件密码」，状态应为“已启用”
升级后必须同步检查的三件事
-
关键路径所有权：执行
ls -ld /usr /bin /sbin /etc，所有输出中 owner 应为root、group 应为wheel；若有非 root 所有者（如staff或用户名），运行sudo chown -R root:wheel /usr /bin /sbin /etc修复 -
Gatekeeper 状态：
spctl --status应返回assessments enabled；若为disabled，需在「系统设置 → 隐私与安全性 → 安全性」中重新启用“允许从以下位置下载的应用”为“App Store 和被认可的开发者” -
AMFI 是否加载：
sudo kmutil showloaded | grep -i amfi应有输出（如amfi.kext），这是 SIP 在内核层的执行模块，缺失意味着完整性机制未完整启动
如果发现 SIP 被关了
必须进恢复模式重开：
- Apple Silicon：关机 → 长按电源键至出现启动选项 → 选“选项” → 点“继续” → 顶部菜单“实用工具” → “终端”
- Intel：重启 → 立即按住 ⌘+R → 等待恢复环境加载 → 同上打开终端
输入csrutil enable→ 回车 → 重启 → 再次运行csrutil status确认
不复杂但容易忽略
