macos系统服务权限修复需分层处理：先通过log和launchctl定位问题，再分别修复plist文件权限（644/root:wheel）、服务二进制执行权（+x）、tcc隐私授权，并避开sip保护路径。
macos 没有官方提供的“一键修复系统服务权限”的命令行工具，也没有独立的 repair-system-permissions 命令。所谓“系统服务权限错误”，通常不是单一权限位问题，而是涉及多个层面：服务进程归属、启动项配置（plist 文件权限与所有权）、运行时访问控制（如 tcc 隐私授权）、sip 限制、以及服务依赖的二进制或资源路径权限异常。
要有效修复，需分场景使用组合命令，而非依赖某个万能工具：
确认服务是否真因权限失败
先看日志定位根源：
- 查看服务状态：
sudo launchctl list | grep -i "your-service-name" - 查看最近错误：
log show --predicate 'subsystem == "com.apple.launchd" && eventMessage contains "denied"' --last 24h | head -20 - 检查服务 plist 文件是否被锁定或归属异常：
ls -l /Library/LaunchDaemons/com.example.service.plist # 正常应为: -rw-r--r-- root:wheel
修复 LaunchDaemons / LaunchAgents 权限与归属
这类服务配置文件必须满足严格权限要求，否则 launchctl load 会静默失败：
- 所有权必须是
root:wheel（系统级 daemon）或$USER:staff（用户级 agent） - 权限必须是
644（daemon）或600（敏感 agent），不可有 group/other 写权限sudo chown root:wheel /Library/LaunchDaemons/com.example.service.plist sudo chmod 644 /Library/LaunchDaemons/com.example.service.plist
修复服务二进制或脚本文件权限
即使 plist 正确，若其 ProgramArguments 指向的可执行文件无执行权或归属错误，服务仍无法启动：
- 确保主程序有
x权限：sudo chmod +x /usr/local/bin/example-service - 归属建议设为
root:wheel（系统服务）或$USER:staff（用户服务） - 若路径含空格或特殊字符，检查 plist 中
<string></string>值是否正确转义
绕过 TCC 或隐私权限拦截（常见于调用摄像头、邮件、辅助功能的服务）
这不是传统“文件权限”，但常被误认为权限错误：
- 使用
tccutil重置授权（需 macOS 12+）：sudo tccutil reset Camera com.example.service sudo tccutil reset Accessibility com.example.service
- 或手动在「系统设置 → 隐私与安全性」中启用对应权限
注意 SIP 保护范围
不要尝试修改 /System/Library/LaunchDaemons/ 下的原生 plist —— 这些受 SIP 严格保护，强行 chown/chmod 会失败，并可能触发安全警告。如需定制系统服务行为，应通过合法扩展点（如 Endpoint Security API）或用户级替代方案实现。
不复杂但容易忽略。
