macOS 文件权限强制约束需协同 ACL deny 规则、chflags uchg 锁定及 umask 限制三重机制：终端执行 chmod +a 添加 deny 权限（优先级最高）、chflags uchg 启用不可更改标志、umask 077 收紧新建文件权限基线，并关闭继承、清理 everyone/staff 权限。
macos 中对文件权限的强制约束，核心在于绕过常规用户权限修改机制，确保某些操作无法被普通账户覆盖或规避。这不是简单设置“只读”就能实现的，而是通过系统级保护、访问控制列表（acl）否定规则、以及底层属性锁定三重手段协同生效。
启用 ACL 否定规则（deny 权限）
图形界面只能设置“允许”类权限，真正实现强制约束必须用终端添加 deny 规则——它优先级高于所有 allow 条目，且无法被子目录继承覆盖。
- 例如禁止某用户删除共享文件夹内任何内容： chmod +a "username deny delete_child,delete" /path/to/folder
- 验证是否生效：运行 ls -le /path/to/folder，确认输出中明确含 deny 字样及对应操作
- 注意：deny 规则不会自动继承到新创建的子项，需配合 file_inherit,directory_inherit 参数启用继承
锁定文件系统扩展属性（chflags）
使用 chflags 可设置不可更改标志（uchg），使文件/文件夹即使拥有者也无法修改、移动或删除，除非先清除该标志。
- 设为不可更改： sudo chflags uchg /path/to/file
- 解除锁定： sudo chflags nouchg /path/to/file
- 该标志对 root 用户同样有效，必须显式清除才能操作，是真正意义上的强制锁
禁用继承并移除宽泛权限条目
很多“约束失效”源于残留的 everyone 或 staff 组权限，或父目录的继承策略未关闭。
- 在访达“显示简介”→“共享与权限”中，逐个选中 everyone、staff 等通用组，将其权限设为“无访问权限”
- 点击齿轮图标 → “不继承权限”，切断上级目录的 ACL 自动同步
- 再点击“应用到封闭的项目”，确保所有子项都剥离了非必要访问路径
结合 umask 限制新建内容权限起点
即使设置了 deny 规则，若新文件默认权限过于宽松（如 777），仍可能被其他机制绕过。通过调整 umask，从源头收紧新建文件权限基线。
- 临时生效：终端输入 umask 077（新文件默认 600，新目录 700）
- 永久生效：将 umask 077 写入 ~/.zshrc，重启终端即全局启用
- 此设置不影响已有文件，但能防止后续新增内容成为权限漏洞入口
