xprotect是苹果的轻量级静态签名检测机制，仅在用户首次打开可疑文件、脚本文档或文件被修改后执行时触发，依赖yara规则匹配硬编码特征，不监控行为、不扫描全盘、不处理无文件攻击或混淆变种，检测结果仅通过系统弹窗间接提示。
xprotect 不会实时监控或主动扫描系统行为，它只在特定触发点静默比对已知恶意特征，属于“首次调用即检测”的轻量级防护机制。
触发时机严格限定
它不运行后台常驻进程，也不做持续监听。只有以下情况才会启动扫描：
- 用户双击打开一个刚下载的可执行文件（如 .app、.pkg、.dmg 内的二进制）
- 首次打开含脚本的文档（如 .pdf 中嵌入的 JavaScript、.docm 中的宏）
- 系统检测到文件被修改（例如签名变更、资源重打包）且即将执行
- XProtect 签名库更新后，对已缓存但未验证过的文件补检
检测方式依赖静态签名
它不分析行为、不模拟执行、不查内存活动，而是用 Apple 维护的 YARA 规则匹配文件内容：
- 规则覆盖已知恶意样本的硬编码字符串、指令模式、网络请求特征（如 curl | bash 调用链）
- 匹配成功即阻断启动，弹出“已损坏”“无法打开”等提示，不尝试清除或隔离
- 规则库随 macOS 系统更新自动下发，不支持手动升级或全盘扫描
检测范围存在明确边界
它不是杀毒软件，对以下场景完全无感：
- 无文件攻击：osascript -e、curl -sL | sh、zsh -c 等直接内存执行，不落盘
- 合法工具滥用：defaults write、plutil、security find-generic-password 等系统命令被恶意调用
- 混淆变种：AdLoad 类脚本通过 base64 编码、变量拆分绕过字符串匹配
- 已授权进程后续行为：TCC 弹窗通过后，该应用读取剪贴板或密钥链不再触发 XProtect
检测结果不单独呈现
没有日志界面、不生成报告、也不通知用户“已发现威胁”，仅通过 Gatekeeper 或系统弹窗间接体现：
- 弹窗显示“无法检查是否含恶意软件” → 实际是 XProtect 匹配失败 + Gatekeeper 拒绝放行
- 终端提示“已损坏” → 多数为 XProtect 规则命中，但系统统一归因于签名问题
- 文件被移入废纸篓 → 仅限极少数 MRT（Malware Removal Tool）联动场景，非 XProtect 自主动作
