Mac安全状态需终端与系统信息交叉验证：1. csrutil status确认SIP启用；2. 系统报告或sysctl查看启动模式是否为“安全”；3. 系统设置中检查固件密码是否启用；4. kextstat筛选非Apple内核扩展并验签。
要快速确认Mac当前是否处于受保护状态，避免因SIP关闭、固件密码缺失或启动模式异常导致系统被篡改，必须在不重启、不进恢复模式的前提下，用终端和系统信息应用交叉验证关键安全项。
检查系统完整性保护（SIP）是否启用
这是macOS最核心的安全防线，禁用后恶意内核扩展可绕过所有系统级防护。
1、打开“应用程序” → “实用工具” → “终端”。
2、输入 csrutil status 并回车。
3、若返回 System Integrity Protection status: enabled，说明SIP正在运行；若显示 disabled，则系统已暴露在高风险中——【此时任何未签名的内核扩展都可能已加载】。
确认当前是否为安全启动模式
安全模式会临时禁用第三方内核扩展、清除动态缓存并执行启动宗卷只读校验，是判断近期是否发生异常的关键指标。
方法一：图形化速查
点击左上角苹果图标 → “关于本机” → “系统报告” → 左侧选“软件” → 查看右侧“启动模式”字段。
若显示“安全”，说明当前正运行在安全模式下；若为“标准”，则属常规启动。
方法二：终端一行命令验证
在终端中执行：sysctl -n kern.bootargs | grep -q x && echo "安全模式" || echo "标准模式"。该命令直接读取内核启动参数，比界面更底层、更可信。
查看固件密码是否已设置
固件密码能阻止他人从外部介质启动或修改启动磁盘，是Apple芯片Mac物理安全的第一道闸门。
1、打开“系统设置” → “隐私与安全性” → 滚动到底部点“固件密码”。
2、若提示“固件密码已启用”，则表示已设；若显示“尚未设置固件密码”，【此时任何人只要持有你的Mac，就能通过启动选项重装系统或访问数据】。
3、注意：此设置仅对Apple芯片Mac有效，Intel机型需使用“启动安全性实用工具”在恢复模式中配置。
扫描当前加载的内核扩展（kext）
恶意驱动常借kext实现持久驻留，尤其在SIP关闭后更易得手。
第一步：在终端运行 kextstat | grep -v com.apple。
第二步：观察输出列表中是否有来源不明的厂商名（如非“com.apple”、“org.virtualbox”、“com.parallels”等公认可信前缀）。
第三步：若有可疑条目，记下Bundle ID，再用 codesign -dv /Library/Extensions/xxx.kext 检查其签名有效性——未签名或签名失效的kext应立即卸载。
