最直接有效的方式是运行 csrutil status 命令确认 sip 状态，再通过 sysctl -n kern.securelevel、固件密码设置及 sudo touch /usr/bin/test 实际拦截测试三重验证其真实生效。
最直接有效的方式是运行 csrutil status 命令，两秒内就能确认 sip 是否启用——无需重启，也不用进恢复模式。
终端执行 csrutil status
这是 macOS 内置的权威检查工具，读取的是固件层的真实配置标志，结果明确可靠：
- 打开「应用程序 → 实用工具 → 终端」
- 输入命令：csrutil status，按回车
- 若显示 System Integrity Protection status: enabled，说明已启用
- 若显示 System Integrity Protection status: disabled，说明已被关闭
补充验证内核安全等级
仅看 csrutil 输出还不够，需确认 SIP 是否真正起效：
- 运行 sysctl -n kern.securelevel
- 返回 1 表示 SIP 已实际限制内核写入，策略生效
- 返回 -1 或报错，说明未生效（常见于 Apple Silicon 上误用 Intel 指令）
检查固件密码是否设置
没设固件密码时，攻击者可能通过外接设备绕过 SIP：
- 前往「系统设置 → 隐私与安全性 → 固件密码」
- 查看是否已启用；未设置则建议开启，增强底层防护
快速测试 SIP 实际拦截效果
用一个简单操作反向验证保护是否真实运行：
- 运行 sudo touch /usr/local/test → 应成功（
/usr/local不受 SIP 保护） - 运行 sudo touch /usr/bin/test → 应报错 Operation not permitted（
/usr/bin受 SIP 保护） - 如果后者成功，说明 SIP 未生效或已被绕过
