macOS 中无法在运行时强制执行安全引导检查，安全引导是 Apple 芯片 Mac 的固件级启动策略，仅在启动过程中自动生效，设置与验证必须在恢复模式下通过“启动安全性实用工具”完成，不可动态触发或实时验证。
macOS 中没有“强制执行安全引导检查”的实时命令或开关，安全引导（Secure Boot）是 Apple 芯片 Mac 的固件级启动策略，由硬件和恢复环境共同控制，不能在正常系统运行中动态触发或验证。它只在启动过程中生效，且设置必须在恢复模式下手动调整。
安全引导不是运行时功能，而是启动时策略
安全引导限制未签名的系统内核扩展、自定义引导加载器或非 Apple 签名的操作系统，确保仅加载经过 Apple 验证的代码。它不依赖于磁盘工具、终端命令或系统偏好设置，也不提供“立即扫描”或“重新校验”按钮。
关键点：
- 仅对 Apple 芯片 Mac（M1/M2/M3/M4）有效；Intel Mac 使用的是 EFI 安全启动，机制不同且不可调
- 默认启用“完整安全性”，无法通过常规界面查看或测试是否“正在检查”
- 系统不会弹窗提示“安全引导已启用”，也不会在日志中持续报告验证行为
确认并调整安全引导设置的方法
要真正管理安全引导，必须进入恢复环境：
- 关机后长按电源键，直到出现“正在载入启动选项”
- 点选“选项”→“继续”，输入管理员密码进入恢复模式
- 顶部菜单栏选择“实用工具”→“启动安全性实用工具”
- 在这里可查看当前策略（如“完整安全性”“中等安全性”），并根据需要切换
注意：更改后需重启才生效，且每次启动都会自动执行对应级别的验证——你不需要、也无法“手动触发”这次验证。
验证安全引导是否实际起效的方式
最直接的验证是观察启动行为本身：
- 尝试从外部 USB 启动一个未经公证的 macOS 安装器或 Linux 发行版：若被阻止并显示禁止图标，说明“完整安全性”正在工作
- 安装未签名的内核扩展（kext）后重启：若系统拒绝加载并在控制台报错 “not allowed by Secure Boot policy”，即为生效证据
- 在“系统报告”→“硬件”→“平台信息”中查看“安全启动策略”字段，其值反映当前配置（如 Full Security）
常见误解澄清
以下操作不能实现或影响安全引导检查：
- 磁盘工具中的“急救”：只检查文件系统结构，不涉及固件或启动链验证
- Gatekeeper 设置：控制 App 运行时签名检查，与内核/固件层完全无关
- 终端命令如 spctl 或 nvram boot-args：前者管应用签名，后者管安全模式，均不触达 Secure Boot 层
- 重启或重置 NVRAM/SMC：不影响已设定的安全引导策略
