要在恢复模式中配置启动安全性策略、允许外置设备启动，关键在于先确认你的 mac 类型（apple 芯片 / intel + t2 芯片），再进入对应恢复环境操作：apple 芯片需通过电源键进恢复环境并启用“允许从外部介质启动”，intel+t2 芯片则用 command+r 进入后在启动安全性实用工具中取消“仅允许从内置驱动器启动”；生效验证需满足重启按 option 键可见外置驱动器图标且系统设置中显示“可启动”。
要在恢复模式中配置启动安全性策略、允许外置设备启动，关键在于先确认你的 Mac 类型（Apple 芯片 / Intel + T2 芯片），再进入对应恢复环境操作。不同芯片架构的设置路径、选项名称和权限逻辑完全不同，不能混用。
Apple 芯片 Mac：启用外部启动权限
搭载 M 系列芯片的 Mac 默认禁用外部启动，必须手动开启：
- 关机后按住电源键不放，直到出现“正在载入启动选项”界面
- 点击“选项” → “继续”，进入 macOS 恢复环境
- 顶部菜单栏选择“实用工具” → “启动安全性实用工具”
- 输入管理员用户名和密码解锁（需当前系统已设管理员）
- 点按“安全策略”，选择“降低安全性”或“宽松安全性”
- 勾选“允许从外部介质启动”（该选项在“降低安全性”下默认启用；若未显示，请确保所选启动磁盘已解锁且为 APFS 格式）
- 点“好”，重启生效
Intel + T2 芯片 Mac：调整启动安全性实用工具
2018 年后 MacBook、2019 年后 iMac / Mac mini / Mac Pro 等机型使用 T2 芯片，需通过恢复模式访问专用工具：
- 关机 → 开机瞬间立即按住 Command (⌘) + R 进入恢复模式
- “macOS 实用工具”窗口中，顶部菜单选“实用工具” → “启动安全性实用工具”
- 输入管理员账户密码（必须是当前主系统中的管理员，非 Apple ID）
- 在“外部启动”区域，取消勾选“仅允许从内置驱动器启动”或选择“无安全性”
- 若看到“允许从外部介质启动”开关，确保其处于开启状态
- 关闭窗口 → 重启，之后外置驱动器才可能出现在启动管理器中
验证是否生效的两个硬指标
设置完成后，不能只看界面是否点了“确定”，要以实际行为为准：
- 重启时按住 Option 键，灰底白字界面中应出现外置驱动器图标（带苹果 logo，非问号或灰色禁用状态）
- 在“系统设置 → 通用 → 启动磁盘”列表里，该外置驱动器名称右侧明确标注“可启动”
- 若仍不显示，大概率是驱动器本身未安装完整 macOS 或未被识别为可启动卷宗，需回退检查磁盘工具中的“可启动: 是”状态
常见卡点与绕过方法
遇到“无法进入启动安全性实用工具”或“选项不可点”，多数源于底层限制：
- 文件保险箱加密的驱动器必须先在实用工具中点“解锁”，输入密码才能修改策略
- T2 芯片机型要求 recoveryOS 必须从内置 APFS 分区启动，U 盘恢复环境无法调出该工具
- Apple 芯片 Mac 若未在系统设置中开启“允许不受信任的内核扩展”，即使降低安全性，部分旧版启动项仍被拦截
- 某些企业托管设备受 MDM（如 Intune）策略锁定，此时需联系管理员解除“恢复锁定”或“启动安全性策略”管控
