macOS磁盘映像加密强度取决于AES-256算法与强密码组合，必须在创建或转换时启用，无法后期添加；推荐APFS格式、禁用钥匙串保存密码，并避免稀疏映像用于长期归档。
macOS 磁盘映像（.dmg）的加密强度取决于创建时选择的算法和密码质量，而非文件本身“自动加密”。系统原生支持 AES-128 和 AES-256 两种标准，其中 AES-256 是当前推荐且实际可用的最高强度选项，适用于敏感文档、源代码、财务数据等需强保护的场景。
加密算法：AES-256 是默认且唯一实用的选择
自 macOS 10.13（High Sierra）起，磁盘工具与 hdiutil 默认使用 AES-256 加密；旧版本虽显示 AES-128 选项，但实际底层已统一为 AES-256。Apple 官方文档与命令行输出均不再区分两者，无需手动指定“128”或“256”，只要勾选“256位 AES 加密”或使用 -encryption 参数，即启用 AES-256。该算法被 NIST 认证，至今无已知有效攻击方式，安全性足够应对绝大多数威胁。
真正决定安全性的不是算法，而是你的密码
再强的加密也挡不住弱密码。DMG 加密不依赖生物识别或硬件密钥，完全靠用户输入的密码派生密钥。因此：
- 避免使用常见词、生日、连续数字（如 123456、password）
- 建议采用 4–5 个不相关单词组合（例如 "tiger-battery-spoon-waffle"），兼顾长度与记忆性
- 不要勾选“记住密码在钥匙串中”，否则他人登录你账户即可挂载镜像
- 若用 hdiutil 命令，务必加 -stdinpass 参数，防止密码留在终端历史记录里
加密时机不可逆，必须在创建或转换阶段完成
DMG 文件一旦生成且未加密，就无法“后期加锁”。常见误区包括：
- 试图对已有未加密 .dmg 右键→“加密”——系统不提供此功能
- 以为“锁定镜像”（右键→显示简介→勾选锁定）等于加密——这只是防止误编辑，内容仍可被挂载后直接读取
- 依赖隐藏文件（如 .DS_Store 或资源分支）藏敏感数据——挂载后全部可见
正确做法只有两个：新建时选加密，或用 hdiutil convert -encryption 重新生成加密副本（原文件需备份后再操作）。
其他影响安全的关键细节
除了算法与密码，以下设置同样重要：
- 格式选 APFS（非 HFS+）：APFS 原生支持加密元数据，挂载验证更严格；HFS+ 虽兼容旧系统，但加密实现较老，不推荐新项目
- 避免稀疏映像用于长期归档：稀疏映像（.sparseimage）会随写入动态扩容，残留旧数据块可能未被覆盖，存在恢复风险；固定大小或压缩只读 DMG 更干净
- 不把加密 DMG 存在公共云同步目录（如 iCloud Drive 根目录）：部分同步服务可能缓存解密态临时文件，增加侧信道泄露可能
