macos 安全启动与固件保护是硬件强制的底层信任机制，确保仅加载 apple 签名代码；apple 芯片 mac 默认启用不可关闭，t2 mac 需固件密码配置三档安全级别，老款 intel mac 不支持现代 secure boot。

macos 的安全启动和固件保护不是普通开关，而是由硬件强制执行的底层信任机制，作用是确保每次开机都只加载苹果签名验证过的代码。配置方式因芯片类型完全不同，不能一概而论。

Apple 芯片 Mac（M1 及更新）：默认启用，不可关闭

安全启动深度集成在 SoC 中，Boot ROM、恢复系统、内核、kext 全部需经 Apple 签名验证。用户无法禁用或绕过，也不需要设置固件密码——所有关键操作（如更改安全性策略）必须手动长按电源键进入 recoveryOS，并经过显式授权。

• 系统默认采用“完整安全性”策略：仅允许已知最新版本的 macOS 启动，自动阻止旧版或篡改系统
• 若需安装含第三方内核扩展（kext）的软件，必须手动切换为“降低安全性”策略，但会暴露已知漏洞风险
• “宽松安全性”仅面向开发者，需先关闭 SIP，且不适用于日常使用
• recoveryOS 密码可由企业通过设备管理服务（如 Apple Business Manager）部署，用于锁定恢复环境

T2 芯片 Intel Mac：可通过恢复模式调整安全级别

只有设置了固件密码后，才能进入“启动安全性实用工具”进行配置。该工具提供三档安全启动选项，影响系统能否从非 Apple 操作系统启动。

WeChat macOS Proxy

macOS 微信消息自动化工具。通过 GUI 自动化实现：发送消息给指定联系人、读取聊天内容、监控新消息。适用于需要自动化微信操作的场景，如定时发送、批量回复、消息备份等。依赖 peekaboo 进行屏幕截图和 UI 交互。仅支持 macOS。开源地址：https://github.com/chairmanmia...

下载

• 完整：仅允许已签名的 macOS 启动（推荐，兼容性与安全性平衡）
• 中等：允许部分签名合规的 Linux 发行版等第三方系统（需确认其引导加载器已适配 T2 验证）
• 无：完全跳过签名检查（大幅削弱防护能力，仅限调试场景，不建议启用）
• 外部启动控制可单独开关，配合固件密码共同限制从 USB 或 Thunderbolt 设备启动

老款 Intel Mac（无 T2）：不支持现代 Secure Boot

这类机型依赖传统 EFI 安全机制，没有硬件级签名验证链，防护能力有限。无法使用“启动安全性实用工具”，也不支持固件密码或安全启动策略调整。

• 系统完整性保护（SIP）和 FileVault 仍是主要软件层防护手段
• 升级到 macOS Monterey 或更高版本后，部分安全功能（如运行时内存保护）仍有效，但启动阶段无强验证
• 如需更高安全性，建议迁移到 Apple 芯片机型

FileVault 与固件/恢复密码的关系

启用 FileVault 会自动创建一个与之关联的固件级访问控制，但它不等于固件密码（T2 机型）或 recoveryOS 密码（Apple 芯片机型）。

• T2 机型：FileVault 加密密钥受固件密码保护，未输入密码无法进入恢复模式或重装系统
• Apple 芯片机型：FileVault 加密密钥由 Secure Enclave 管理，无需固件密码；但 recoveryOS 密码需单独配置，用于防止未经授权访问恢复环境
• 两者均不影响安全启动本身的运行逻辑，但共同构成启动链末端的访问控制屏障