macos 默认禁用 root 账户，仅限修改 sip、调试内核等必要场景启用，任务完成后须立即停用；日常管理应使用管理员账户加 sudo，禁用 ssh 远程 root 登录，确保 sip 仍启用，且不得以 root 运行图形应用。
macos 默认禁用 root 账户，启用仅限极少数必要场景（如修改 sip 保护区域、调试内核扩展），任务完成后必须立即停用。日常管理请始终使用管理员账户配合 sudo，而非登录 root。
图形界面启用或停用 root（推荐给非命令行用户）
全程在系统安全框架内操作，无需终端：
- 打开「系统设置」→「用户与群组」→ 点击右下角锁图标，输入当前管理员密码解锁
- 点击「登录选项」→ 在「网络账户服务器」右侧点「加入…」→ 弹窗中选「打开目录实用工具」
- 在目录实用工具窗口左下角点锁图标，再次输入管理员密码解锁
- 顶部菜单栏选「编辑」→「启用 Root 用户」（设高强度密码，建议16位含大小写字母、数字、符号）；或选「停用 Root 用户」直接关闭
终端命令快速启停（适合熟悉命令行的用户）
兼容 macOS Catalina 至 Sequoia，操作可审计、响应快：
- 启用：在终端运行 sudo dsenableroot -u 当前管理员用户名（例如
sudo dsenableroot -u admin），按提示输入两次管理员密码 + 两次新 root 密码 - 停用：直接运行 sudo dsenableroot -d，回车后即刻生效
- 验证是否已停用：执行
sudo su -，若提示密码错误或拒绝访问，说明 root 已不可用
启用后必须做的三件事
root 是高危账户，启用即意味着绕过核心防护机制：
- 禁止 SSH 远程 root 登录：确认
/etc/ssh/sshd_config中含 PermitRootLogin no，并重启服务sudo launchctl stop com.openssh.sshd - 检查 SIP 状态：运行
csrutil status，确保仍为 enabled；若曾手动关闭，需进恢复模式重开 - 不以 root 身份运行图形应用或长期登录：误删
/System或/usr下文件可能导致系统无法启动
单用户模式应急处理（仅限无法进入图形界面时）
适用于系统崩溃、登录界面异常等紧急恢复场景：
- 关机后立即按住 Command + S 开机，进入纯文本命令行
- 执行
/sbin/mount -uw /挂载根卷为可写，再运行launchctl load /System/Library/LaunchDaemons/com.apple.DirectoryService.plist - 启用：运行
dscl . -create /Users/root UserShell /bin/bash和dscl . -passwd /Users/root设密 - 停用：在正常系统下优先用上述图形或终端方式；若无法进入，可在单用户模式中删除 root 的 shell 属性：
dscl . -delete /Users/root UserShell
