csrutil

查看和控制 SIP，限制对 macOS 系统区域的修改。

补充说明

SIP 保护 /System、/usr（不含 /usr/local）、/bin、/sbin 等系统位置，以及系统进程的调试和注入。csrutil status 在正常系统里即可查看状态；修改状态必须重启进入恢复模式。Intel Mac 开机时按住 Command-R（或 Option 选择恢复分区），Apple Silicon 关机后长按电源键进入启动选项，再进“实用工具 > 终端”。

csrutil disable 会降低 SIP：只能在恢复模式执行，会削弱系统完整性和恶意软件防护，完成后必须重新启用。 它只适合明确的排障或开发需求，不应作为长期状态。Big Sur 起还有独立的 authenticated-root（SSV）保护，关 SIP 不等于关它，改系统宗卷时要分别确认。

常用示例

# 以下 disable/enable 命令只能在恢复模式的终端里执行

# 1. 查看 SIP 当前状态；正常系统也能运行
% csrutil status

# 2. 关闭 SIP：降低系统完整性保护，完成后必须重新启用
% csrutil disable
# 重启进入正常系统，完成必要的排障或修改

# 3. 恢复 SIP；改完系统后第一时间执行
% csrutil enable

# 4. 查看系统宗卷认证（SSV）状态，它与 SIP 是两套开关
% csrutil authenticated-root status

# 5. 重置为默认安全策略（SIP 与 authenticated-root 都回到启用）
% csrutil clear

易错点与排错

• 在正常系统的终端执行 csrutil disable 会失败并提示必须从恢复模式运行；这是设计使然，不是权限不足。
• 关闭 SIP 后忘记恢复，系统可被修改、未签名内核扩展或调试注入更容易落地；排障结束立即 csrutil enable 并重启。
• 以为关了 SIP 就能改系统宗卷：Big Sur 及以后还要看 authenticated-root，修改后需要用 csrutil authenticated-root enable 恢复。
• 把 csrutil disable 当成关闭 Gatekeeper：两者独立；Gatekeeper 由 spctl 和公证策略管理，不要为了装一个应用关 SIP。
• Apple Silicon 的部分操作还受启动安全策略限制，恢复模式里的选项与 Intel 不同；按 Apple 文档操作，不要照抄旧教程。
• 关闭 SIP 期间安装的系统修改可能在重新启用后失效或导致启动问题；改动前备份，保留可用的恢复模式入口。

相关命令

• sudo — 普通提权不等于关闭 SIP。
• codesign — 系统二进制的签名与完整性。
• security — 证书、钥匙串与信任链。
• softwareupdate — 系统更新前后的安全状态。
• 安全模型指南 — 理解 SIP、TCC 与 Gatekeeper 的分层。
• Windows sfc — 对照系统文件完整性检查。

参考链接

• Apple Support: 关于 Mac 上的系统完整性保护
• Apple Platform Security

读完自测

合上页面，先回答，再展开对照。

1. 为什么在正常系统的终端里执行 csrutil disable 会失败？正确入口是什么？
2. 关闭 SIP 后，完成排障为什么必须重新启用？它影响哪些方面？
3. csrutil disable 和关闭 Gatekeeper 是一回事吗？authenticated-root 又是什么？