沙盒应用无法读取~/documents等目录是设计限制而非故障，须通过nsopenpanel获取用户授权、生成安全书签并存入自身容器，同时在info.plist中声明com.apple.security.files.user-selected.read-write等权限键。
macOS 沙盒应用无法读取 ~/Documents 等用户目录，通常不是权限配置错误或系统故障，而是沙盒机制按设计拦截了未授权的访问。关键不在“修复权限”，而在让应用合规获取路径访问权。
确认是否真被沙盒拦截
看到 Operation not permitted 错误时，先别急着改 chmod 或 chown：
- 检查操作是否直接访问
~/Documents、~/Desktop、/Volumes/xxx等非容器路径 - 运行
ls -lOe ~/Documents，若输出含restricted或com.apple.quarantine，说明路径受沙盒或 TCC 控制 - 查看
/Library/Logs/TCC/tcc.log（需提前启用日志），搜索你的 App Bundle ID，确认拒绝类型是kTCCServiceFileProviderDomain还是kTCCServiceSystemPolicyAllFiles
必须走 NSOpenPanel + 安全书签流程
硬编码路径读写必然失败。合法长期访问需用户主动授权并持久化凭证：
- 首次启动时调用
NSOpenPanel，设canChooseDirectories = true、resolvesAliases = true - 用户选中文件夹后，立即执行
url.startAccessingSecurityScopedResource() - 完成读写后，立刻配对调用
url.stopAccessingSecurityScopedResource() - 调用
url.bookmarkData(options: .withSecurityScope)生成书签数据 - 将书签存入自身容器内，例如：
FileManager.default.urls(for: .applicationSupportDirectory, in: .userDomainMask).first
Info.plist 权限键必须显式声明
即使用户点过授权，缺少对应 entitlement 也会导致后续访问失败：
- 添加键
com.apple.security.files.user-selected.read-write，值为true - 若还需照片库，加
com.apple.security.assets.photos；需自动化控制，加com.apple.security.automation.apple-events - Xcode 中勾选 Capabilities → “User Selected File Access” 可自动生成，但建议手动核对 plist 内容是否生效
- 修改后必须重新签名：
codesign --force --deep --sign - /Applications/YourApp.app
常见踩坑点与规避方式
很多问题源于细节疏漏，而非逻辑错误：
- 不要把书签数据存到
/tmp、~/Downloads或其他沙盒外路径——沙盒应用无权读取 - 不要在主线程长时间持有
startAccessing，应“最小作用域”：打开→读写→关闭 - 重启后访问失败？大概率是没在启动时恢复书签并再次
startAccessing - Electron/Tauri 等框架需注意：
BrowserWindow创建前、app.whenReady后完成书签恢复和资源访问开启
