受限用户无法安装软件的根本原因是系统多重验证机制协同拦截：Gatekeeper阻断未签名/未公证程序启动，SIP保护关键路径且Authorization Right机制禁止非管理员提权，唯一可行解是部署至用户主目录或通过MDM预授权。
受限用户在 macOS 上无法直接安装软件，不是因为“权限不够”，而是系统从源头到落地设置了多道不可绕过的验证关卡。核心逻辑是：账户身份决定能否触发授权流程，而授权流程本身又依赖签名、路径和系统保护机制是否协同放行。
Gatekeeper 拦住启动入口，受限用户连第一步都迈不出
受限用户（标准用户）双击一个未签名或未公证的 .app 或 .pkg，系统根本不会弹出密码框——Gatekeeper 直接拦截，提示“来自身份不明的开发者”或“已损坏”。这不是权限问题，而是信任链缺失。即使文件本身没问题，只要没经过 Apple 公证，Gatekeeper 就不给运行机会，后续所有安装动作都不会启动。
- 管理员能右键“打开”→点“仍要打开”临时放行，受限用户连这个选项都看不到
- 终端执行 spctl --assess -vv /path/to/app 可查具体拦截原因（如 notarized=no、signature=ad-hoc）
- 真正有效的解法是让开发者完成签名+公证，而不是让用户改设置
管理员密码不是“万能钥匙”，受限用户根本拿不到调用权
哪怕 Gatekeeper 放行了，.pkg 安装器仍需向 /Applications、/Library 或 /usr/local 写入文件。这些路径受 SIP 保护，写入操作必须由 root 权限执行。而 macOS 的 Authorization Right 机制只允许管理员账户发起该权限提升请求。受限用户点击“安装”后，界面可能卡住、无反应，或直接报错“需要管理员权限”，系统压根不弹认证框。
- 拖拽 .app 到 /Applications 同样失败：系统检测到当前用户非 admin，连写入请求都不发
- 尝试用 sudo 手动运行 pkgutil 或 installer 命令？受限用户没有 sudo 权限，终端会直接拒绝
- 唯一可行路径是请管理员代为安装，或使用无需系统级写入的方式（见下一条）
绕过系统路径限制：用个人空间实现“免权限安装”
受限用户虽不能改系统路径，但对自身主目录（~/）拥有完全控制权。把软件部署到 ~/Applications 或 ~/bin，既避开 SIP 和 Gatekeeper 的双重压制，也不需要任何密码或授权。
- 手动创建 ~/Applications 文件夹，将 .app 拖入即可直接运行（访达会自动识别）
- 命令行工具可解压后放入 ~/bin，再把该路径加入 shell 的 PATH（如 export PATH="$HOME/bin:$PATH"）
- 部分 .pkg 安装器支持自定义路径，安装时选“更改安装位置”指向 ~/ 路径（若选项可用）
- 对强制写系统路径的安装包，可用 pkgutil --expand 解包，提取内容后手动复制到用户目录
MDM 环境下的例外路径：策略预授权替代人工输入
企业或教育场景中，若 Mac 已接入 Jamf、Intune 等 MDM，管理员可通过配置描述文件（Configuration Profile）为特定应用预授权。此时受限用户双击安装包，系统不再弹窗，而是静默完成安装——但这不是放宽权限，而是提前把“允许写入 /Library/Application Support/xxx”这类规则注入系统授权数据库。
- 预授权仅对指定 bundle ID 或安装包哈希生效，不等于开放全部权限
- 用户仍无法自行安装其他软件，MDM 策略会持续拦截未被批准的安装行为
- 检查是否启用：终端运行 security authorizationdb read system.install.apple，看 output 中是否有 allow 且含 mdm 字样
