沙盒应用在macOS下无法随意读写文件是系统设计限制而非权限故障，修复需通过NSOpenPanel获取用户授权并持久化安全书签，同时正确配置Info.plist中com.apple.security.files.user-selected.read-write等权限键。
沙盒应用在 macOS 下无法随意读写文件，不是权限“坏了”，而是系统按设计限制了访问范围。修复重点不是强行改权限，而是让应用合规地获得所需路径的访问权。
确认是否真被沙盒拦截
报错 “Operation not permitted” 不等于归属或 chmod 错了，大概率是沙盒机制生效：
- 检查错误发生时的操作：是不是试图直接读写
~/Documents、~/Desktop或外接卷？ - 运行
ls -lOe ~/Documents，若输出含com.apple.quarantine或restricted字样，说明路径受沙盒或 TCC 控制 - 查看
/Library/Logs/TCC/tcc.log（需先开启日志），搜索你的 App Bundle ID，确认拒绝类型是kTCCServiceSystemPolicyAllFiles还是kTCCServiceFileProviderDomain
用 NSOpenPanel 获取用户授权并持久化书签
沙盒下唯一合规的长期访问方式，是让用户主动选中文件夹，并保存安全书签：
- 启动时调用
NSOpenPanel，设置canChooseDirectories = true、resolvesAliases = true - 用户确认后，立即执行
url.startAccessingSecurityScopedResource() - 访问完毕必须配对调用
url.stopAccessingSecurityScopedResource() - 调用
url.bookmarkData(options:)生成书签数据，存入自身容器目录（如~/Library/Containers/com.yourapp/Data/Library/Application Support/bookmarks.dat） - 下次启动时，用
URL.resolvingBookmarkData(_:)恢复 URL，再startAccessing才能读写
Info.plist 必须声明对应权限键
没有正确配置，即使用户点过授权也会失效：
- 添加键
com.apple.security.files.user-selected.read-write，值设为true - 若需访问照片库，加
com.apple.security.assets.photos；需控制屏幕，加com.apple.security.automation.apple-events - Xcode 中勾选 Capabilities → “User Selected File Access” 可自动生成，但手动检查 plist 更可靠
避免踩坑的实操细节
沙盒权限问题常因小疏漏失败，关键点如下：
- 不要把 bookmarkData 存到
~/tmp或全局路径，沙盒应用无权读取那些位置 - 不要在主线程长时间持有
startAccessing，应“最小作用域原则”——打开→读写→关闭 - 如果用 Electron，确保
app.dock.show()或BrowserWindow创建前已完成书签恢复和startAccessing - 修改 Info.plist 后必须重新签名：
codesign --force --deep --sign - /Applications/YourApp.app
不复杂但容易忽略
