必须启用FileVault对启动磁盘全盘加密，它使用XTS-AES-128算法、由Secure Enclave硬件加速，确保设备丢失时数据不可读；启用前须确认Recovery HD存在、启动盘为APFS格式、管理员密码强且禁用自动登录。
如果你希望Mac启动磁盘上的全部数据在设备丢失或被盗时无法被他人读取，就必须启用文件保险箱（FileVault）——它不是给单个文件加锁，而是对整个启动卷实施系统级AES-128加密，且解密过程由Secure Enclave硬件加速，日常使用几乎无感。
确认三项硬性前提条件
跳过这步，点击“开启”后大概率卡在“正在启用”或直接失败，且无明确报错提示。
打开“终端”（应用程序 → 实用工具），依次执行以下三行命令并核对结果：
【diskutil list | grep "Recovery"】 ——必须有输出，且显示 Recovery 分区挂载在 /Volumes/Recovery 或类似路径下；若无输出，或显示 Recovery 在外置硬盘上，FileVault 无法启用。
【diskutil info / | grep "Type"】 ——返回值必须含 APFS；若为 HFS+，需先备份，再执行 diskutil apfs convert / 转换格式。
进入“系统设置 → 用户与群组 → 登录选项”，确认“自动登录”为“关”，且至少一个管理员账户密码非空、非纯数字、长度≥8位并含大小写字母+符号。
通过系统设置图形界面启用（推荐日常用户）
这是最稳妥、最直观的方式，支持 iCloud 恢复，全程后台静默加密，不影响你继续写文档、开会议、剪视频。
点击屏幕左上角苹果菜单 → “系统设置” → 左侧边栏“隐私与安全性” → 向下滚动找到“文件保险箱”。
点击右下角锁形图标，输入管理员密码解锁设置项。
点击“打开文件保险箱”，系统弹出恢复方式选择框：选“将恢复密钥保存到 iCloud”需已登录 iCloud 并开启双重认证；选“创建个人恢复密钥”会立即显示一串【24位或28位字母数字组合】，请务必用纸笔完整抄写，离线存放——它不会再次显示，也无法从系统或iCloud找回。
确认后，Mac 将自动重启一次；登录账户后，加密即在后台持续进行，状态栏会出现小锁图标并显示进度百分比。
使用终端命令启用（适合批量部署或密钥自主保管）
该方式绕过图形引导，直接调用底层 fdesetup 工具，可将恢复密钥导出为本地加密文件，规避 iCloud 依赖，常用于企业IT脚本化管理。
方法一：直接生成并显示密钥
打开“终端”，运行 fdesetup status 确认返回 FileVault is Off.；然后执行 sudo fdesetup enable -authrestart，输入管理员密码。
终端立即输出一段24或28位密钥和UUID——【必须当场复制并粘贴到离线文本文件中，随后断网保存】，该密钥不会留存于系统任何位置。
方法二：密钥直写本地安全文件
执行 sudo fdesetup enable -recoverykey /tmp/fv.key；系统自动生成密钥并写入 /tmp/fv.key，同时设为仅所有者可读（chmod 600）。
立即运行 cat /tmp/fv.key 查看内容并复制，随后执行 rm /tmp/fv.key 彻底清除临时痕迹。
重启Mac，登录后加密自动开始；可用 diskutil apfs list | grep -A5 "FileVault" 查看是否仍在转换中。
在恢复模式下强制启用（系统无法进入桌面时）
当Mac因权限损坏、配置异常或桌面环境崩溃而无法正常登录时，此方法可在无GUI状态下直接激活底层加密服务。
第一步：关机后立即按住电源键不放，直至出现启动选项窗口。
第二步：选择带齿轮图标的“选项”，进入macOS恢复模式 → 顶部菜单栏“实用工具” → “终端”。
第三步：先执行 ls /Volumes 查看启动卷真实名称（如“Macintosh HD”或“Data”）；再运行 fdesetup enable -defer /Volumes/Macintosh\ HD（注意将 Macintosh HD 替换为实际名称，并用反斜杠转义空格）。
终端会立刻输出24位恢复密钥——【必须手写记录，否则后续无法解锁】；完成后重启，首次启动时将提示输入该密钥以解锁磁盘。
为多用户账户添加解锁权限
FileVault启用后，每个需要登录的用户都必须单独授权，否则将无法进入系统桌面，只看到灰色锁图标和密码输入框。
① 在系统设置中开启FileVault过程中，若检测到其他标准用户或管理员账户，系统会自动弹出“启用用户”对话框。
② 点击对应用户名右侧的“启用用户”按钮，输入该用户的当前登录密码完成验证。
③ 所有现有用户均完成授权后，未来新增的用户账户将自动获得解锁权限，无需手动添加。
如后期需移除某用户解锁权，进入“系统设置 → 隐私与安全性 → 文件保险箱 → 详细信息”，点击用户旁的“移除”按钮即可。
