Apple芯片Mac限制非安全驱动需启用“完整安全性”策略，通过启动安全性实用工具设置并配合Gatekeeper应用层控制，优先采用System Extension或DriverKit替代旧kext。
在搭载 Apple 芯片的 Mac 上，限制非安全驱动（如旧版内核扩展 kext）安装，核心是调整启动磁盘的安全引导策略。默认启用的“完整安全性”会阻止未经 Apple 签名或未通过系统验证的驱动加载，这是最有效的防护机制。
理解安全引导策略的作用
Apple 芯片 Mac 的启动安全性由“启动安全性实用工具”控制，它决定哪些操作系统组件和底层驱动可以运行：
- 完整安全性：只允许当前 macOS 或 Apple 明确信任的签名系统软件运行，强制联网验证签名状态，kext 安装会被直接拒绝。
- 降低安全性：允许 Apple 信任但签名时间较早（资料日期为2026年5月12日）的驱动运行，适用于必须使用特定旧版专业驱动的场景，但会削弱防护能力。
切换到完整安全性（推荐默认设置）
若当前策略不是“完整安全性”，需手动恢复：
- 关机后按住电源键，直到出现“正在载入启动选项”；
- 点按“选项”→“继续”，用管理员账户登录；
- 打开“实用工具”→“启动安全性实用工具”；
- 选择启动磁盘（如已加密，请先解锁）；
- 点“安全策略”，勾选“完整安全性”，点击“好”并重启。
不建议临时降级策略来装驱动
即使遇到提示“需要降低安全性才能安装”，也应优先考虑替代方案：
- 联系驱动厂商，确认是否有适配 Apple 芯片的 系统扩展（System Extension） 或 DriverKit 版本；
- 检查 macOS 更新，新版系统可能已内置兼容支持；
- 若设备必须依赖旧 kext，且组织已部署 MDM，可由管理员远程授权，无需本地降级策略。
配合系统级软件来源控制
安全引导策略管底层驱动，而应用层还需同步收紧：
- 进入“系统设置”→“隐私与安全性”→“安全性”（或“安全性与隐私”→“通用”）；
- 将“允许从以下位置下载的应用”设为“App Store”或“App Store 和被认可的开发者”；
- 禁用“任何来源”选项，避免用户绕过 Gatekeeper 手动批准可疑安装包。
