sip不校验驱动签名，真正拦截未签名驱动的是gatekeeper和内核加载机制；sip仅保护/system、/usr等关键路径免遭篡改。遇驱动报错应先查csrutil status、控制台日志及kextstat输出，确认是否真由sip导致，再针对性处理签名、公证、权限与隔离属性问题。
系统完整性保护（sip）本身不直接校验驱动签名，它不负责拦截“签名无效”的报错；真正拦住未签名或签名异常驱动的，是 gatekeeper 和内核加载机制。sip 的作用是保护系统关键路径（如 /system、/usr），防止驱动向这些区域写入或篡改。所以当遇到驱动安装报错，首先要区分：是 sip 阻止了安装动作，还是签名/公证/权限问题触发了系统拒绝加载。
确认报错是否真由 SIP 引起
盲目关闭 SIP 不仅没必要，还可能带来安全风险。先验证是否真被 SIP 拦截：
- 终端运行
csrutil status，若显示 enabled，说明 SIP 正常开启——这本身不是错误原因 - 查看控制台日志：打开「控制台」→ 左侧选「报告」→ 搜索关键词 Kext rejected、code signing blocked、stagedextension failed；若有，说明是签名或架构问题，与 SIP 无关
- 执行
kextstat | grep -i yourdrivername，若无输出，说明驱动根本没被系统尝试加载，大概率是未签名、未公证，或已被系统主动丢弃
重点处理签名与加载机制兼容性
macOS 13（Ventura）起，传统 kext 驱动已逐步淘汰，新系统默认拒载未公证、未签名、或仍用内核扩展架构的驱动。正确做法是适配当前规则：
- 卸载旧版 kext：使用厂商提供的官方卸载工具（如 DisplayLink Uninstaller），再手动清理
/Library/Extensions/和/Library/StagedExtensions/ - 下载新版驱动：认准官网标注 “System Extension”、“DriverKit” 或 “Apple Silicon native” 的版本，这类驱动运行在用户态，无需突破 SIP 保护区域
- 验证签名状态：终端执行
codesign -dv "/Applications/YourDriverManager.app"，确认 “Notarized: yes” 且 “Authority” 含有效 Developer ID
补全系统级隐私权限
内核更新会重置所有权限，即使之前授权过，升级后也需重新开启：
- 进入「系统设置 → 隐私与安全性」，点击右下角锁图标解锁
- 在「完全磁盘访问」中添加驱动配套的管理应用（如
DisplayLink Manager.app），不是 .kext 文件 - 检查「辅助功能」「自动化」「屏幕录制」三项——USB-C 扩展坞、采集卡等设备常依赖后两者
- 每项添加后，必须重启对应 App；部分需整机重启才生效
不要跳过隔离属性清理
从网页下载的驱动安装包常带 com.apple.quarantine 属性，会触发 Gatekeeper 二次拦截：
- 终端执行：
sudo xattr -d com.apple.quarantine /path/to/your.pkg（拖入安装包自动补全路径） - 若安装器是 .app 形式（如某些管理工具），用递归命令：
sudo xattr -r -d com.apple.quarantine /Applications/XXX.app - 操作后无需重启，立即双击尝试安装
