macOS密钥保管核心原则是不落地、不裸存、有控制、可追溯；优先使用iCloud钥匙串或本地钥匙链加访问控制锁定；导出须临时受控，禁用明文文件等高危方式；需定期轮换并审计密钥。
macOS 存储加密密钥的导出与保管，核心原则是：不落地、不裸存、有控制、可追溯。密钥一旦离开安全环境（如 Secure Enclave 或密钥链加密数据库），风险陡增；而长期以明文文件形式存在本地磁盘，是最常见也最危险的做法。
优先使用系统级安全容器
macOS 提供两类高保障存储路径，应优先选用：
- iCloud 钥匙串：适合跨设备同步的密钥（如 git-crypt 对称密钥、API token），需开启双重认证并确保 Apple ID 安全；创建时选“iCloud 钥匙串”，类型设为“安全备注”或“通用密码”，名称标注用途（如 git-crypt-myproject-key）；访问时自动触发登录密码或生物认证。
- Local 钥匙串 + 访问控制锁定：适合仅限单机使用的密钥（如开发环境专用 SSH 密钥）。在“钥匙串访问”中新建项后，双击打开“简介”→“访问控制”，取消勾选“允许所有应用程序访问此项目”，并勾选“要求每次访问都输入密码”——这样即使进程被劫持，也无法静默读取密钥。
导出操作必须临时且受控
导出仅应在迁移、备份或协作交接等必要场景下进行，且全程避免明文暴露：
- 用
security find-generic-password -s <key-name> -w命令提取密钥内容，直接管道传递给目标工具（如git-crypt unlock），不写入磁盘； - 若必须保存为文件（如移交他人），使用
security export导出整个钥匙串项为.keychain-db加密文件，并设置强密码；严禁导出为纯文本或 .txt/.json 等无加密格式； - 导出后立即清空剪贴板（
pbcopy < /dev/null），删除临时文件，检查/tmp和下载目录是否残留副本。
禁用高危存储方式
以下做法已被证实存在明确安全隐患，应明确禁止：
- 将密钥保存为普通文件（如
~/.git-crypt.key），哪怕设置了chmod 600—— 文件权限易被绕过，且备份软件、云同步、终端历史记录都可能意外泄露； - 把密钥硬编码在脚本或配置文件中（包括 shell history、.zshrc、Makefile）；
- 用微信、邮件、笔记类 App（非 iCloud 钥匙串）传输密钥——这些渠道无法保证端到端加密，也不具备访问审计能力。
定期验证与轮换机制
密钥不是“设一次就不管”的静态资产：
- 对长期使用的密钥（如仓库级 git-crypt 密钥），每 6 个月执行一次轮换：生成新密钥、重新加密全部受保护文件、从密钥链删除旧项、更新协作方凭证；
- 利用
security dump-keychain（需授权）或第三方工具如 1Password CLI 审计钥匙串中密钥的创建时间、访问次数和关联应用； - 发现设备丢失、账户异常或员工离职时，立即在钥匙串中禁用或删除对应密钥项——无需重装系统，响应可秒级完成。
