macos 开发加密工具应优先启用原生方案：filevault 全盘加密、磁盘工具加密外置设备、访达右键创建加密 .dmg；按需补位 veracrypt（高敏本地卷）和 cryptomator（云协同）；代码中用 openssl 或 cryptokit，凭证存钥匙串；严守卸载习惯、离线保管密钥、禁用 icloud 同步加密容器。
macos 上安装开发所需的加密存储与访问工具，关键不在“装多少”，而在选对类型、配好权限、管住密钥。系统原生能力已覆盖大部分场景，第三方工具只在必要时补位——比如跨平台兼容、云同步安全或细粒度文件级控制。
一、优先启用系统原生加密能力
不必额外安装，直接调用 macOS 内置机制，既稳定又免维护：
- FileVault 全盘加密：系统设置 → 隐私与安全性 → 文件保险箱 → 开启。它保护启动磁盘所有数据（含缓存、临时文件、已删未覆写块），登录即解密，不打断开发流；恢复密钥建议保存到 iCloud（需双重认证）或手抄离线保管。
- 磁盘工具加密外置设备：连接 U 盘或移动硬盘 → 打开磁盘工具 → 显示所有设备 → 选中物理设备（非卷）→ 抹掉 → 格式选“APFS（加密）” → 输入强密码+提示语。每次插拔都需手动输入密码挂载，适合传输敏感构建产物或密钥材料。
- 访达右键加密文件夹：在访达中 Control + 点击目标文件夹 → “对[名称]进行加密” → 设密码 → 生成 .dmg 映像。该映像可双击挂载为独立卷，卸载后内容不可见，适合打包交付物或临时隔离测试数据。
二、按需集成可信第三方加密工具
当原生方案不够用时，聚焦两个经长期验证的开源工具：
- VeraCrypt：适用于高敏场景（如密钥库、证书包）。下载官方 dmg 安装包 → 拖入应用程序 → 首次运行需授权“完全磁盘访问”。创建加密卷时选 AES-256 或组合加密（AES-Twofish-Serpent），密钥文件建议单独存于离线 U 盘，主密码勿复用。
- Cryptomator：专为云协同优化。安装后新建保险库（Vault），它会在指定路径生成加密文件夹，每个文件单独加密、元数据混淆。上传至 iCloud 或 Dropbox 后仍保持隐私，适合团队共享的配置文件、API 文档等。注意关闭“开机自动解锁”，操作完务必点击“锁定保险库”而非仅关闭窗口。
三、开发中安全调用加密能力
若需在代码里集成加密逻辑（如本地凭证存储、通信加解密），推荐 OpenSSL：
- 通过 Swift Package Manager 集成：Xcode → File → Add Packages → 粘贴仓库地址 https://gitcode.com/gh_mirrors/open/OpenSSL → 选择最新版本。支持 AES 对称加密、RSA/ECC 非对称操作、SHA 哈希及 TLS 协议栈。
- 钥匙串访问请用 SAMKeychain 封装：它简化了系统钥匙串 API，自动处理 ACL（如要求 Face ID 二次确认）、Secure Enclave 绑定和沙盒权限。敏感 token、OAuth 凭据应存于此，而非明文 plist 或 UserDefaults。
- 避免自行实现加解密逻辑。优先调用系统 API（如 CryptoKit）或成熟库（OpenSSL/Cryptomator SDK），不硬编码密钥，不把密码存在代码或资源文件中。
四、日常使用必须守住的安全习惯
工具再强，操作松懈等于裸奔：
- 加密容器不放在 iCloud 同步目录（如桌面、文稿）下，防止未加密副本意外上传；
- 每次使用后执行“卸载”或“锁定”，用 Cmd + E 快速弹出已挂载卷；
- 主密码用密码管理器生成并保存，密钥文件/恢复短语手写离线存档，绝不截图、不邮件、不粘贴到备忘录；
- 定期检查钥匙串访问记录（钥匙串访问 App → 右键条目 → “显示访问控制”），移除可疑授权。
