标准软链结构核心是将链接逻辑固化为可复用、可验证、可审计的自动化流程：统一由team-dotfiles仓库中symlinks.sh管理，路径前置确保$path优先级，分层覆盖支持本地调试，且严格规避sip限制。
为开发团队提供标准软链结构，核心不是手动建链接，而是把链接逻辑固化进可复用、可验证、可审计的自动化流程里。关键在于统一源头、分层控制、路径前置、不碰系统目录。
统一软链入口：用 team-dotfiles 管理所有符号链接
所有软链目标路径（如 /opt/homebrew/bin/git）和链接位置（如 /usr/local/bin/git）都写死在团队配置仓库中，不靠个人记忆或临时命令：
- 在 team-dotfiles 仓库中维护一个 symlinks.sh 脚本，集中声明所有关键命令的软链规则
- 脚本自动识别芯片架构（Apple Silicon / Intel），适配 /opt/homebrew/bin 或 /usr/local/bin
- 执行 ./symlinks.sh 即批量创建或更新全部软链，新人跑一次就对齐全队环境
- 每次修改需提交 PR，经 CI 校验链接是否真实存在、目标是否可执行，防止“假链接”污染环境
路径优先级必须前置：确保软链真正生效
软链建好了，但若 /usr/local/bin 不在 $PATH 最前面，终端仍会调用系统旧版命令：
- 在 .zshrc 开头强制置顶：export PATH="/usr/local/bin:/opt/homebrew/bin:$PATH"
- Apple Silicon 用户额外检查：which python3 应返回 /opt/homebrew/bin/python3，而非 /usr/bin/python3
- CI 流水线中加入 test -x $(which git) 和 git --version 双重验证，确保软链指向的是 Homebrew 安装的版本
分层覆盖机制：允许本地调试不破坏团队基线
团队标准软链是基础层，但开发者可能需要临时切换工具版本做兼容性测试：
- 在 .zshrc 末尾加载 ~/.zshrc.local（该文件不提交、不进仓库）
- 个人可在其中加临时软链：ln -sf /opt/homebrew/Cellar/python@3.11/3.11.9/bin/python3 ~/bin/python311 && export PATH="$HOME/bin:$PATH"
- 这种局部覆盖只影响当前 shell，不影响构建脚本、CI 或队友环境，也不干扰团队统一软链逻辑
规避 SIP 风险：只操作允许目录，不硬改系统路径
macOS 的 SIP 会拦截对 /usr/bin、/bin 等目录的写入，强行操作会导致失败或安全警告：
- 所有软链必须建在 /usr/local/bin、~/bin 或 /opt/homebrew/bin 这类用户可写路径
- 禁止使用 sudo ln -sf 去覆盖系统目录；也不要用 sudo cp 复制二进制到受保护位置
- 团队 symlinks.sh 中内置检测：if [[ "$(stat -f '%L' /usr/bin/git 2>/dev/null)" == "restricted" ]]; then echo "SIP blocked — aborting"; exit 1; fi
不复杂但容易忽略。软链本身只是符号，真正起作用的是它被谁调用、在哪被找到、由谁维护——团队协作里，软链从来不是技术问题，而是流程问题。
