mac缺乏底层防护时，他人可按command+r进入恢复模式重置密码或读取数据；必须启用固件密码（intel选“启动安全性实用工具”，apple silicon选“启动安全性设置”），密码不支持特殊符号，建议用字母数字组合如“nova7sky”，输错三次锁定一分钟；同时开启filevault加密硬盘，并关闭自动登录、设登录窗口为“名称和密码”显示。
Mac启动时未输入密码就进入系统，说明当前缺乏底层启动防护，他人可按Command+R重启直接进入恢复模式，再通过终端命令重置账户密码或挂载磁盘读取数据。
启用固件密码（最核心的防护）
这一步必须做，否则所有上层安全设置都形同虚设。固件密码作用于开机最底层，能拦住Command+R、Command+S、Option等所有启动键组合。
关机后，按住 Command + R 键不放，再按电源键，直到出现地球图标或苹果标志后松手，等待进入恢复模式界面。
顶部菜单栏选择“实用工具” → “启动安全性实用工具”（Intel芯片）或“启动安全性设置”（Apple Silicon芯片）。
点击“启用固件密码”，连续两次输入你设定的密码。注意：【该密码不支持@ # $ %等特殊符号，建议用大小写字母+数字组合，如“Nova7Sky”】。输错三次会锁定一分钟。
完成后点击“重新启动”。下次开机、重启、进恢复模式，都会在苹果logo出现后立即弹出密码框——没它，连系统图标都看不到。
确认FileVault已开启（补全数据防护）
固件密码防的是启动入口，FileVault防的是硬盘数据本身。即使有人拆下SSD装到另一台Mac上，没有你的登录密码，看到的全是加密乱码。
进入“系统设置” → “隐私与安全性” → 左侧点击“FileVault”。
若显示“关闭”，点击“开启 FileVault”，按提示选择恢复密钥备份方式：推荐选“iCloud”（自动绑定Apple ID）或“保存到文件”（存到U盘并离线保管）。
开启后首次重启会后台加密，不影响使用。加密完成前不要强制关机或断电。
关闭自动登录并隐藏用户名
自动登录等于主动交出第一道门禁卡，尤其和FileVault共存时，系统会强制禁用它；但手动确认一次更稳妥。
第一步：打开“系统设置” → “用户与群组” → 点击左下角锁图标，输入管理员密码解锁。
第二步：点击右侧“登录选项”，找到“自动以此身份登录”，从下拉菜单中选“关闭”。
第三步：在同一页面，将“将登录窗口显示为”设为“名称和密码”。这能防止他人一眼看出本机有哪些用户名，避免暴力猜测。
