Mac用户需用security命令配置ACL并授予完全磁盘访问权限，才能让脚本安全读取密钥链密码；默认拒绝是因ACL仅允许交互式工具访问，须显式添加shell路径（如/bin/zsh）及security工具至隐私设置。

mac 用户想让脚本安全读取密钥链（keychain）里的密码，关键不是“打开权限”，而是让系统信任这个脚本——它得被识别为合法访问者，且访问行为不触发反复弹窗。手动点“始终允许”虽快，但没法批量部署或自动化；用命令行精准配置 acl（访问控制列表）才是稳定可靠的解法。

为什么脚本默认被拒绝访问密钥链

macOS 对每个钥匙串项目都维护一个访问控制列表（ACL）。当你用 security add-generic-password 存入密码时，若不指定可访问的应用，系统默认只允许交互式工具（如钥匙串访问.app、Safari）读取，Shell 脚本、osascript 或自定义二进制程序会被拦在门外。这不是 bug，是设计上的安全隔离。

用 security set-generic-password 命令配置 ACL

添加密码时就指定允许访问的程序，比事后修改更稳妥。例如，存 AnyConnect 密码并授权给你的登录 Shell：

macOS Automator Services

部署和使用军舰的 macOS Automator 自动化服务集合。包含 5 个实用工作流：PDF转JPG、PNG重命名并转JPG、图像拼接、解压RAR、顺序命名图像文件。一键安装所有服务到 ~/Library/Services/ 目录。使用场景：(1) "安装我的自动化服务"，(2) "部署所有 Automato...

下载

• 先确认你当前 shell 的路径：echo $SHELL（通常是 /bin/zsh）
• 执行以下命令（替换 vpn_password 和 your_vpn_server）：
  security add-generic-password -a "user@company.com" -s "anyconnect@your_vpn_server" -w "vpn_password" -D "AnyConnect login credential" -T "/bin/zsh"
• -T 参数可多次使用，如还需允许 Terminal.app 访问，再加一个 -T "/System/Applications/Utilities/Terminal.app"

运行脚本前必须授予“完全磁盘访问”权限

即使 ACL 设置正确，macOS 仍可能拦截脚本调用 security find-generic-password，因为它属于受保护的系统 API。解决方法是提前把终端或脚本解释器加入隐私设置：

• 打开「系统设置」→「隐私与安全性」→「完全磁盘访问」
• 点击锁图标解锁，再点 + 号
• 按 Command+Shift+G，输入 /usr/bin，选择 security 和 zsh（或你实际用的 shell）
• 如果脚本通过 Automator 或 AppleScript 启动，也要把 Automator.app 和 Script Editor.app 加进去

避免弹窗：用 --show and --window-title 控制交互行为

某些旧脚本调用 security find-generic-password -w 会强制弹出授权窗口。改用更可控的方式：

• 用 -s 指定服务名，加上 --show 输出明文密码（需已授权）：
  security find-generic-password -s "anyconnect@server" -w --show
• 若首次运行仍弹窗，可在命令后追加 2>/dev/null 抑制错误提示，但不推荐跳过授权环节
• 确保钥匙串项目归属“登录”钥匙串（不是“系统”），否则普通用户脚本无权访问