答案是tcc隐私控制导致，而非unix权限问题；macos mojave后对~/desktop等目录启用tcc授权机制，需在“系统设置→隐私与安全性→完全磁盘访问”中为终端手动授权。
macos 文件权限问题常被误判为传统 unix 权限（chmod/chown）问题，但真正卡住你的，往往是系统级隐私控制、扩展属性或执行位缺失。排查不能只看 ls -l，得按层次推进：先确认基础权限是否合理，再查 tcc 授权、acl、扩展属性，最后验证执行位和上下文身份。下面分四类典型场景，给出直击要害的排查路径。
一、目录能进但 ls 报 “Operation not permitted”
这是 macOS Mojave 及之后最典型的 TCC 陷阱，尤其出现在 ~/Desktop、~/Documents、~/Downloads 等受保护目录：
- 用
ls -ld ~/Downloads确认属主和权限（如drwx------属主可读写执行，说明 Unix 权限没问题） - 运行
ls -le ~/Downloads查 ACL —— 若无输出，说明没显式 ACL 干扰 - 关键一步：检查 TCC 授权，打开「系统设置 → 隐私与安全性 → 完全磁盘访问」，确认你当前使用的终端（如 Terminal.app 或 iTerm2）已勾选
- 若刚重装系统或重置权限，可能需要手动添加：拖终端应用图标到该列表中，或使用命令
sudo tccutil reset All com.apple.Terminal后重启终端
二、脚本运行报 “Permission denied”，但 chmod +x 已设
加了执行位仍失败，常见于三类隐藏原因：
WeChat macOS Proxy
下载
macOS 微信消息自动化工具。通过 GUI 自动化实现：发送消息给指定联系人、读取聊天内容、监控新消息。适用于需要自动化微信操作的场景，如定时发送、批量回复、消息备份等。依赖 peekaboo 进行屏幕截图和 UI 交互。仅支持 macOS。开源地址：https://github.com/chairmanmia...
- 脚本第一行
#!/usr/bin/env bash指向的解释器本身无执行权限 —— 运行ls -l $(which bash)，若显示-rw-r--r--，需修复：sudo chmod +x $(which bash) - 脚本保存在受 TCC 保护的目录（如 Downloads），即使有 x 权限，系统仍拦截执行 —— 将脚本移到
~/bin或/usr/local/bin再试 - 文件带
com.apple.quarantine扩展属性（常见于浏览器下载），导致 Gatekeeper 拦截 —— 查看：xattr -l ./myscript.sh；清除：xattr -d com.apple.quarantine ./myscript.sh
三、Web 服务（PHP/Apache）写入 runtime 失败
ThinkPHP、Laravel 等框架在 macOS 上报 Permission denied，90% 是因为搞错了 Web 进程的真实用户：
- 别猜，实查：运行
ps aux | grep -E '(php-fpm|httpd|apache)' | grep -v grep，看 USER 列是_www还是你的用户名 - 若用 Homebrew php-fpm，检查配置：
grep -E '^(user|group)' /opt/homebrew/etc/php/*/php-fpm.d/www.conf - 把 runtime 目录属主设为对应用户：
sudo chown -R _www:_www storage/ runtime/（注意不是chmod 777，那是安全隐患） - 确保目录有组写权限：
chmod -R g+rw storage/ runtime/
四、应用安装/启动失败，提示“已损坏”或“无法验证”
这不是权限问题，而是 Gatekeeper 和签名信任链问题：
- 右键应用 → 「打开」绕过初次拦截（仅限首次）
- 彻底移除隔离属性：
sudo xattr -rd com.apple.quarantine /Applications/YourApp.app - 若提示证书不信任，检查钥匙串：打开「钥匙串访问」→ 左侧选「系统」→ 搜索应用名 → 右键证书 → 「显示简介」→ 展开「信任」→ 设为「始终信任」
- 开发中自签名应用，还需用
codesign --force --deep --sign - YourApp.app重签名
