沙盒应用默认无法访问外部挂载卷，需用户首次手动导航至该卷触发系统授权弹窗；勾选“记住此决定”可获持久化访问权，但重命名、重挂载、app更新或只读挂载均会导致授权失效。
macOS 沙盒应用默认无法访问外部挂载卷（如 USB 硬盘、网络磁盘、加密 DMG 等），这是系统级安全限制，不是权限没点“允许”那么简单——它需要用户主动触发访问，并由系统授予一次性或持久化授权。
沙盒应用为何被拦在外部卷门外
macOS 的 App Sandbox 机制强制应用声明所需资源范围。外部卷不属于 app 容器、用户主目录或临时目录，默认不在白名单内。即使你已给 app 全盘访问权限（Full Disk Access），它仍需单独请求挂载卷路径，且该请求只对当前挂载点生效——拔插设备、重命名卷、重新挂载都会重置授权。
如何让沙盒应用成功访问外部卷
关键在于“首次访问时触发系统弹窗”，而非提前设置。操作要点如下：
-
确保卷已挂载且可见：在访达中能正常打开该卷；若显示为灰色/不可点，先检查连接或重新挂载（例如用
diskutil mount /dev/disk2s1） - 在 app 内主动执行“打开文件”或“选取文件夹”操作：比如点击菜单栏的「文件 → 打开…」，然后在访达对话框中手动导航到外部卷根目录或其子文件夹——必须手动点进去，不能靠侧边栏快捷入口
- 首次进入时会弹出系统提示：“xxx 想访问‘MyDrive’”。勾选“记住此决定”可让该 app 对该卷获得持续访问权（重启后仍有效）
- 若弹窗未出现：确认该 app 已加入“完全磁盘访问”列表（系统设置 → 隐私与安全性 → 完全磁盘访问），但注意——这仅开放用户主目录等系统路径，不自动包含外部卷
常见失效场景与应对
以下情况会导致授权突然失效，需重新触发：
- 外部卷被重命名（哪怕只是加个空格）→ 系统视作全新卷，需再次授权
- 使用命令行或脚本挂载（如
mount -t afp）→ 不走 Finder 挂载流程，沙盒 app 可能完全不可见该卷 - app 更新后签名变更 → 系统可能清空旧授权，需重新触发
- 卷以只读方式挂载 → 即使授权成功，写入操作仍失败，需检查挂载参数或磁盘格式（如 exFAT 在 macOS 默认只读）
开发者可做的适配（供参考）
如果你是开发者，可在 Info.plist 中添加 com.apple.security.files.user-selected.read-write 权限，并调用 NSSavePanel 或 NSOpenPanel 让用户显式选择外部卷中的文件或文件夹——这是 Apple 推荐的合规路径，比硬编码路径更稳定可靠。
