macos磁盘加密（如filevault）仅保障数据机密性，不提供完整性校验；完整性需依赖apfs元数据校验和、手动启用的数据校验和、加密磁盘映像内置校验和或文件级哈希比对等手段实现。
macOS 磁盘加密本身不直接提供数据完整性校验机制，它专注的是机密性——防止未授权访问明文数据。但数据完整性（即确认文件是否被意外损坏或恶意篡改）需配合其他手段实现，且不同加密场景下可用方法不同。
FileVault 加密与完整性保护的关系
FileVault 是全卷级加密，使用 AES-XTS 算法对数据块进行加解密，但它不计算或验证哈希值、不嵌入数字签名，因此无法检测磁盘静默损坏（如位翻转）、固件故障或存储介质老化导致的数据腐坏。启用 FileVault 后，系统仍依赖底层文件系统（APFS）自身的完整性保障：
- APFS 默认启用元数据校验和，可检测并自动修复目录结构、inode、扩展属性等关键元数据的损坏；
- APFS 支持“数据克隆”和“快照”，结合写时复制（CoW），降低因中断写入导致文件损坏的风险；
- 但 APFS 对用户数据内容本身不默认启用端到端校验和（需手动开启“APFS 数据校验和”功能，仅限 macOS 13+ 且需在格式化时选择，不可事后添加）。
验证加密磁盘映像（.dmg/.sparseimage）的完整性
当你创建加密磁盘映像（如用“磁盘工具”生成的 APFS(加密) 或 Mac OS 扩展(日志式,加密) 映像），系统会为其生成并嵌入校验和。验证步骤如下：
- 在“磁盘工具”中选中该映像文件，点击顶部菜单栏“文件”→“验证”；
- 或右键映像 → “显示简介”，查看“校验和”字段（若存在）；
- 也可在终端运行：shasum -a 256 /path/to/image.dmg，与原始保存的哈希值比对；
- 注意：验证过程会解密并读取全部内容，耗时较长，尤其对大映像；
- 若验证失败，说明映像文件已损坏或被篡改，即使密码正确也无法可靠挂载。
对已加密宗卷中的单个文件做完整性校验
FileVault 不干预文件内容，因此你可以像未加密时一样对任意文件执行完整性检查：
- 使用 shasum、md5 或 swift checksum 生成哈希值，并安全存档（如记在密码管理器或离线备份中）；
- 定期重新计算并比对，确认文件未被静默修改；
- 对于重要文档、安装包或配置文件，建议在传输或长期归档前生成 SHA-256 哈希并签名（例如用 codesign 或 GPG）；
- Time Machine 备份本身不校验源文件完整性，但其增量快照机制有助于发现异常变更。
企业环境下的增强实践
通过 MDM（如 Intune）部署 FileVault 的组织，可叠加策略提升完整性保障：
- 强制启用 APFS 数据校验和（需设备运行 macOS 13+ 且新格式化宗卷）；
- 配置定期运行 diskutil verifyVolume 或 fsck_apfs 的自动化任务；
- 结合 Endpoint Detection and Response（EDR）工具监控异常文件修改行为；
- 对关键系统文件启用 SIP（系统完整性保护），阻止未签名进程篡改。
