开启 macOS FileVault 需先验证三项硬性条件（Recovery HD 存在且位于启动卷、启动盘为 APFS 格式、管理员设强密码并禁用自动登录），再通过系统设置、终端命令或恢复模式任一方式启用，并务必离线妥善保管 24 或 28 位恢复密钥。

开启 macOS FileVault 不是点一下“打开”就完事的操作，而是一套需前置验证、路径选择和密钥落地的完整流程。它用 XTS-AES 128 位加密保护整块启动盘，一旦启用，所有数据在写入磁盘前自动加密，读取时实时解密，日常使用几乎无感，但前提是你得把恢复密钥真正管住。

必须提前确认的三项硬性条件

跳过检查直接启用，大概率卡在“正在启用”或静默失败，且系统不报错。务必逐项验证：

• Recovery HD 必须存在且位于启动卷内：打开终端，运行 diskutil list | grep "Recovery"。若无输出，或显示 Recovery 在外置硬盘上，则 FileVault 无法启用；需进恢复模式用“磁盘工具”修复或重建恢复分区。
• 启动盘格式必须为 APFS：旧系统升级后可能仍为 HFS+。可用 diskutil info / | grep "Type" 查看，若非 APFS，需先完整备份，再执行 diskutil apfs convert / 转换（仅限支持机型）。
• 至少一个管理员账户设了强密码，且禁用自动登录：空密码、纯数字密码、或开启“自动登录”，都会导致启用失败——系统设置里 FileVault 开关会灰显，终端命令 fdesetup enable 也会静默退出，毫无提示。

三种启用方式及对应密钥处理

不同场景选不同路径，密钥生成与保管逻辑也完全不同：

• 系统设置图形界面（推荐日常用户）：进入“系统设置 → 隐私与安全性 → 文件保险箱”，解锁后点击“打开文件保险箱”。可选“将恢复密钥保存到 iCloud”（需已登录且开启双重认证），或“创建个人恢复密钥”。选后者会显示一串 24 或 28 位字母数字组合，必须当场用纸笔抄写、离线存放——它不会再次出现，也无法找回。
• 终端命令行（适合批量或精确控制）：打开终端，先运行 fdesetup status 确认关闭状态，再执行 sudo fdesetup enable -authrestart。终端立即输出恢复密钥和 UUID，务必复制并存入离线介质（如加密 U 盘或打印件）；该密钥权限自动设为 600，比直接输出更安全。
• 恢复模式启用（系统无法进桌面时）：关机后长按电源键进启动选项 → 选“选项”→ 进恢复模式 → “实用工具”→“终端”，运行 fdesetup enable -defer /Volumes/你的卷名（卷名可用 ls /Volumes 查看）。终端当场输出密钥，必须手写记录，错过即永久丢失。

恢复密钥的真实用途与使用时机

它不是备用密码，而是解密磁盘的唯一数学凭证，只在以下情况生效：

macOS UI 自动化技能包 —— 用 Python 控制你的 Mac

让 macOS 自动化像说话一样简单 —— 用代码控制你的 Mac，无需学习 AppleScript 系统要求 macOS 14+ (Sonoma) Python 3.9+ 需要开启：辅助功能 + 屏幕录制权限

下载

• 所有用户账户密码都遗忘，且未启用 iCloud 恢复；
• 重装系统后首次启动，提示“输入恢复密钥以解锁磁盘”；
• 开机时出现灰色锁图标并要求输入密钥（常见于恢复模式下执行磁盘修复后）。

注意：用 Apple ID 重设登录密码，只改账户密码，不触碰加密层；恢复密钥才能真正解锁磁盘内容。一旦丢失密钥又忘密码，数据将不可恢复。

验证是否真正启用与后续管理

别信界面显示，终端才是权威：

• 运行 fdesetup status，返回 FileVault is On. 才算成功；
• 后台加密进度可在菜单栏小锁图标中查看，也可用 diskutil apfs list | grep -A5 "FileVault" 查状态；
• 企业环境可通过 Intune 等 MDM 工具集中托管密钥、轮换密钥、生成加密报告；个人用户切勿把密钥存 Mac 本地、iCloud 备忘录或邮件里——离线、物理、可读、难篡改，才是底线。