要精准定位mac最近7天内每一次屏幕解锁与开机行为的具体时间、触发进程及认证方式，必须直取统一日志数据库：①用log show --predicate 'subsystem == "com.apple.loginwindow" and eventmessage contains "screenisunlocked"' --last 7d --info查解锁；②用log show --predicate 'subsystem == "com.apple.loginwindow" and eventmessage contains "ui session activated"' --last 7d比对确认真实登录；③用log show --predicate 'eventmessage contains "reboot"' --last 7d定位重启时间；④以重启时间为起点，用log show --start "x" --predicate 'subsystem == "com.apple.loginwindow"' --info --last 10m查首次人工解锁。

要精准定位Mac最近7天内每一次屏幕解锁与开机行为的具体时间、触发进程及认证方式，必须绕过图形界面缓存，直取统一日志数据库中毫秒级精度的原始记录，因为控制台App默认只显示最近2小时活动，且不自动关联loginwindow与securityd事件链。

用log命令提取最近7天所有屏幕解锁事件

这一步操作起来很简单，直接把命令敲进去就行。

打开“访达” → “前往” → “实用工具”，双击启动“终端”。

输入以下命令并回车：log show --predicate 'subsystem == "com.apple.loginwindow" AND eventMessage contains "ScreenIsUnlocked"' --last 7d --info。

该命令会筛选出loginwindow子系统生成的所有“ScreenIsUnlocked”消息，【必须加--info参数，否则默认只输出error级别日志，会漏掉90%以上的成功解锁记录】。

若输出内容过长，可追加 | less 分页浏览，按空格键翻页，q键退出。

Boxy

Boxy是一款AI开发辅助工具，CodeSandbox推出的AI编程助手。

下载

交叉验证解锁是否伴随完整用户会话激活

仅查到“ScreenIsUnlocked”不够——它可能来自Touch ID快速唤醒，未必代表用户真正登录。需同步确认session是否被loginwindow正式激活。

在同一个终端窗口中，运行：log show --predicate 'subsystem == "com.apple.loginwindow" AND eventMessage contains "UI session activated"' --last 7d。

比对两条命令输出中的时间戳：若某次“ScreenIsUnlocked”后1秒内出现“UI session activated”，说明是真实交互式解锁；若只有前者无后者，大概率是屏幕唤醒而非身份验证。

注意：【普通用户账户执行此命令时，无法看到其他用户的session激活记录，除非以管理员身份运行sudo log show…】

定位每次开机对应的具体启动上下文

开机（reboot）和解锁（unlock）是两个独立事件，但异常重启后首次解锁常含关键线索。需锁定每次reboot后的首个loginwindow活动。

1. 先查最近7天所有重启时间点：log show --predicate 'eventMessage contains "reboot"' --last 7d | grep -E "(reboot|Timestamp)"。
2. 从输出中复制最靠前的一条Timestamp值（格式如2026-09-28 08:32:15.123），粘贴进下一步命令。
3. 执行：log show --start "2026-09-28 08:32:15" --predicate 'subsystem == "com.apple.loginwindow"' --info --last 10m，将时间替换成你刚复制的值。
4. 观察该时间段内loginwindow是否输出“User login”或“Console login”，若有，其时间即为开机后首次人工解锁时刻。

这四步构成完整因果链：reboot → loginwindow初始化 → 用户触发解锁 → session激活。缺任一环都可能是自动唤醒或后台进程干扰。