macOS 心智模型：launchd、信任链、Homebrew、Apple Silicon、APFS 与隐私权限

一句话模型

macOS 用 launchd 管理常驻任务，用代码签名、SIP 和 Gatekeeper 建立信任链，用 APFS 组织卷与快照，用 TCC 控制用户数据访问，并在 Apple Silicon 上通过 Rosetta 兼容 x86_64。

核心概念

1. launchd 与 LaunchAgent/LaunchDaemon

• launchd 与域：launchd 是系统启动后的第一个用户态进程，按 gui/<uid>、user/<uid>、system 三个域管理任务；域决定任务能访问什么会话、以谁的身份运行。
• LaunchAgent：放在 ~/Library/LaunchAgents 或 /Library/LaunchAgents，用户登录后加载，运行在用户 GUI 会话，可访问桌面、剪贴板和钥匙串。
• LaunchDaemon：放在 /Library/LaunchDaemons，开机时由 system 域启动，默认以 root 运行（可用 UserName 降权），没有 GUI 会话，不能弹窗或依赖用户登录；plist 通常要求 root:wheel 且他人不可写。
• plist 关键字段：Label 是唯一标识，ProgramArguments 给绝对路径和参数，RunAtLoad/KeepAlive 控制启动与重启，StartCalendarInterval 代替 cron。
• 新旧命令：旧接口是 launchctl load/unload，新接口是 bootstrap/bootout、enable/disable、kickstart；用 launchctl print 看状态，plutil -lint 校验 plist。
• 关系：plist 只是声明，launchd 按域和权限拉起进程；退出后是否复活看 KeepAlive，需要 GUI 就选 Agent 而不是 Daemon。

2. SIP 与 Gatekeeper

• SIP：系统完整性保护在内核层限制对 /System、/usr（/usr/local 除外）、/bin、/sbin 和系统扩展的修改，root 也不能绕过；csrutil status 查看，只能在恢复模式关闭。
• 代码签名：可执行文件带签名，分 ad-hoc、Developer ID 和 App Store；codesign -dv --verbose=4 查看签名者、Team ID 和 hardened runtime。
• 公证（notarization）：开发者把 Developer ID 签名的软件提交 Apple 扫描，通过后得到票据；macOS 10.15 起，分发到 App Store 之外的软件通常要公证。
• Gatekeeper：首次打开带 quarantine 标记的下载应用时，检查签名、公证和恶意软件状态；spctl --assess --type execute 可手动评估。
• quarantine 扩展属性：下载代理写入 com.apple.quarantine，xattr -p 查看；删除它能绕过首次提示，但也放弃了 Gatekeeper 检查。
• 关系：下载 → quarantine → Gatekeeper 首启检查 → 签名与公证验证；SIP 是另一条独立边界，限制系统和 root 能改什么。

3. Homebrew 路径

• prefix 差异：Apple Silicon 默认 /opt/homebrew，Intel 默认 /usr/local；brew --prefix 是唯一可靠判断，不要照抄旧教程。
• Cellar 与链接：包安装在 $(brew --prefix)/Cellar/<formula>/<version>，再链接到 bin、lib、share；brew list 和 brew --prefix <formula> 可定位实际文件。
• PATH 顺序：shell 能否用到 brew 命令，取决于 $(brew --prefix)/bin 是否在 /usr/bin 前面；从 Finder 或 Dock 启动的 GUI 应用通常不继承终端 PATH。
• formula 与 cask：formula 是命令行包，cask 是 GUI 应用，通常装到 /Applications；brew install 与 brew install --cask 不是同一套依赖。
• brew services：把服务包装成 launchd 任务，brew services start/stop/list 管理用户级 Agent，加 sudo 才写系统级 Daemon。
• 关系：brew 只拥有自己的 prefix，通过符号链接把版本暴露到 PATH；PATH 顺序决定命令解析，架构决定用哪个 prefix。

4. Apple Silicon 与 Rosetta

• 架构标识：uname -m 返回 arm64 或 x86_64，sysctl -n hw.optional.arm64 判断 Apple Silicon，arch 查看或指定当前进程架构。
• 通用二进制：一个文件可同时包含 arm64 和 x86_64 切片，lipo -info 或 file 查看；系统优先运行原生切片。
• Rosetta 2：在 Apple Silicon 上按需翻译 x86_64 用户态指令，不是虚拟机，也不翻译内核扩展；softwareupdate --install-rosetta 安装。
• 翻译检测：Apple Silicon 上 sysctl -n sysctl.proc_translated 返回 1 表示当前进程在 Rosetta 下；arch -x86_64 zsh 可显式开一个 x86 shell。
• 两套工具链：原生 brew 在 /opt/homebrew，x86 brew 在 /usr/local；混用会把不同架构的库链进同一个进程，典型报错是 mach-o file, but is an incompatible architecture。
• 关系：Rosetta 只改变单个进程的执行方式，不改变系统架构；进程架构决定它加载哪套库和 prefix，通用应用默认走原生。

5. APFS

• 容器与卷：APFS 容器是共享空闲空间的池，卷是其中的命名文件系统；卷不再固定分区大小，一个卷写入会消耗整个容器的余量。
• 角色与系统/数据分离：Catalina 起系统卷只读、数据卷可写，通过 firmlink 拼成 /；diskutil apfs list 看角色、容量和快照。
• 写时复制与克隆：修改数据写新块，旧块保留给快照；cp -c 创建克隆，克隆文件初始不占额外空间，修改时才分离。
• 快照：快照是某一时刻的只读视图，创建快、占空间少；Time Machine 本地快照可用 tmutil listlocalsnapshots / 查看，同一磁盘上的快照不是异地备份。
• 大小写与加密：APFS 默认不区分大小写但保留大小写，也可格式化为区分大小写；FileVault 对整个卷加密，和权限模型是两层。
• 关系：容器共享空间、卷共享块、快照和克隆持有旧块，所以 df、du 和 Finder 显示的“可用空间”经常不一致；系统/数据分卷让系统路径只读。

6. 权限与隐私

• POSIX 与 ACL：模式位决定读、写、执行，ACL 在 ls -le 里以 allow/deny 条目出现；目录的 x 决定能否进入，ACL 可以给单个用户额外授权。
• TCC：透明、同意与控制按应用和用户记录相机、麦克风、屏幕录制、完全磁盘访问、自动化等授权；tccutil reset 只能重置，不能命令行授权。
• Full Disk Access：完全磁盘访问绕过部分 TCC 保护（邮件、信息、Safari 数据、Time Machine 等），但不绕过 POSIX 权限和 SIP。
• 沙盒与 entitlements：App Sandbox 和 hardened runtime 通过 entitlements 限制文件、网络和设备访问；codesign -d --entitlements :- 查看。
• 管理员与 sudo：admin 用户可用 sudo 提权到 root，但 root 仍受 SIP、TCC 和只读系统卷限制；macOS 默认不启用 root 账户。
• 关系：访问一个用户文件要同时通过 POSIX/ACL、沙盒/entitlements、TCC 三层；SIP 管系统文件，TCC 管用户数据，三者互相独立。

常见误解

• 把 LaunchAgent 当 Daemon 用，结果开机不启动，或者反过来在 Daemon 里等用户桌面。
• 以为 sudo 能改 /System，忽略 SIP 和只读系统卷。
• 把 Intel 教程的 /usr/local 直接套到 Apple Silicon，导致命令找不到。
• 认为 Rosetta 是虚拟机，或者以为它能运行 x86 内核扩展。
• 把 APFS 卷当固定分区，或用 du 的结果判断真实可用空间。

参考链接

• Apple Platform Security
• Apple Developer: Launchd

读完自测

1. 为什么 LaunchDaemon 弹不出通知，也访问不了登录用户的钥匙串？
2. 一个已签名的应用仍被 Gatekeeper 拦截，应该依次检查什么？
3. APFS 容器里有两个卷，为什么给一个卷写入会减少另一个卷的可用空间？

相关条目

• macos-learning-path — 四阶段学习路径
• linux-vs-macos — 命令、路径、权限与服务对照
• launchctl — 服务与定时任务
• brew — 包管理与 prefix
• diskutil — APFS 容器、卷与磁盘操作
• mdm — MDM 注册、描述文件下发与设备签入排查。
• filevault — FileVault 状态、恢复密钥与机构密钥轮换。
• keychain — 登录/系统钥匙串、证书私钥与 CI 解锁。