macOS 提供三层加密：FileVault 用于启动盘全盘加密，APFS(加密)适合外置硬盘，加密磁盘映像（.dmg/.sparsebundle）实现文件夹级或备份级加密；选择取决于场景、兼容性与安全需求。
macOS 提供多层系统级加密能力，覆盖启动盘、外置存储和单个文件夹，核心方案包括 FileVault、APFS 加密卷和加密磁盘映像。选择哪种方式，取决于使用场景、设备兼容性与安全需求。
FileVault：启动磁盘全盘加密
FileVault 是 macOS 原生的全盘加密技术，专为启动宗卷（如“Macintosh HD”）设计。它在系统登录时解密数据，依赖用户密码或恢复密钥，不需额外格式化。
- 启用路径：系统设置 → 隐私与安全性 → FileVault → 点击“开启”
- 支持 T2 芯片或 Apple Silicon 的 Mac 已默认启用硬件级加密，但 FileVault 仍提供密码级访问控制
- 必须是管理员才能开启；可选 iCloud 恢复或本地恢复密钥——务必离线保存密钥副本
- 加密过程中不可中断，首次加密可能耗时数小时，期间设备仍可正常使用
- 不适用于 RAID、Fusion Drive 或某些第三方引导分区配置
APFS(加密)：外置硬盘首选格式
若外置硬盘仅用于 macOS 10.13 及以上系统，APFS(加密)是最平衡的选择：原生支持、性能损耗低、操作简单。
- 通过“磁盘工具”抹掉后选择“APFS(加密)”或“APFS(区分大小写,加密)”
- 日常建议用不区分大小写的版本，避免部分软件（如 Adobe 系列、VM 镜像）识别异常
- 加密后每次连接需输入密码，无法用于 AirPort 基站的时间机器备份
- 不兼容 macOS 10.12 及更早系统——旧设备需改用 HFS+（日志式，加密）
加密磁盘映像（.dmg/.sparsebundle）：灵活的文件夹级或备份级加密
无需格式化物理设备，适合临时加密敏感项目、跨设备归档或构建加密 Time Machine 备份。
- 访达中按住 Control 键点按文件夹 → “对[名称]进行加密”，自动生成加密 .dmg 文件
- “磁盘工具”→“文件”→“新建映像”可创建自定义大小的 APFS(加密) 映像，适合作为 Time Machine 目标
- .sparsebundle 格式支持动态扩容，挂载后行为等同于真实宗卷，卸载即锁死
- 注意：.dmg 默认为只读（除非创建时勾选“读/写”），且不支持 Windows 原生挂载
关键注意事项
所有系统级加密都依赖密码强度与密钥管理，疏忽易导致数据永久丢失。
- 切勿遗忘密码，且不要将恢复密钥存在同一台 Mac 上
- ExFAT、NTFS、FAT32 不支持 macOS 原生加密，跨平台需求应搭配 VeraCrypt 或 Cryptomator 容器方案
- Time Machine 加密需手动开启——FileVault 不会自动延伸到备份盘
- 加密过程均需先备份数据，“抹掉”操作不可逆
- 企业环境中可通过 MDM（如 Jamf）统一策略强制启用加密并管控恢复凭证
