要快速确认Mac安全状态，需终端与系统信息交叉验证：1. csrutil status查SIP启用；2. firmwarepasswd -check验固件密码（Intel）；3. sudo fdesetup status查FileVault加密；4. kextstat过滤非Apple内核扩展；5. system_profiler+nvmar或defaults查Apple Silicon启动策略。
要快速确认Mac当前是否处于受保护状态，避免因SIP关闭、固件密码缺失或启动模式异常导致系统被篡改，必须在不重启、不进恢复模式的前提下，用终端和系统信息应用交叉验证关键安全项。
检查系统完整性保护（SIP）是否启用
这是macOS最核心的安全防线，禁用后恶意内核扩展可绕过所有系统级防护。
打开“应用程序” → “实用工具” → “终端”，输入：csrutil status 并回车。
若返回 System Integrity Protection status: enabled，说明SIP正在运行；若显示disabled，则系统已暴露在高风险中——【此时任何未签名的内核扩展都可能已加载】。
补充验证：执行 sysctl -n kern.securelevel，返回值为1表示SIP已实际生效；返回-1或报错则说明未激活（常见于Apple Silicon Mac误用Intel指令）。
确认固件密码是否设置
即使SIP启用，未设固件密码仍允许攻击者通过外接设备绕过启动验证。
在终端中运行：firmwarepasswd -check。
若输出 Password: Enabled，表示固件密码已启用；若提示 Error: No firmware password set，说明尚未设置——【这是关键防护缺口，需立即补上】。
注意：该命令无需sudo权限，但仅对Intel芯片Mac有效；Apple Silicon机型固件密码集成在启动安全性策略中，需通过系统设置查看。
验证FileVault加密状态
FileVault是全盘加密的最后防线，其状态不能仅靠图形界面判断。
第一步：运行 sudo fdesetup status，输入管理员密码后，必须看到明确返回 FileVault is On. 才代表加密真正激活。
第二步：检查加密进度是否完成，执行 sudo fdesetup status -verbose，观察 Conversion Pass 行数值是否等于 Conversion Pass Total。
第三步：确认恢复密钥是否可用，运行 sudo fdesetup haspersonalrecoverykey，返回 true 表示个人恢复密钥已生成并托管。
扫描非Apple内核扩展
第三方kext是系统被植入持久化后门的常见入口，尤其当SIP被绕过时。
方法一：列出所有已加载内核扩展，过滤掉Apple签名项：kextstat | grep -v apple。
方法二：更精准识别可疑项，执行：kextstat -l | awk '$6 !~ /^com\.apple\./ {print $6}' | sort -u。
若输出任何ID（如com.logitech.driver.LogiMouse、org.virtualbox.kext.VBoxUSB），需进一步验证签名：codesign -dv /Library/Extensions/[kext名].kext。未签名或签名失效的扩展应立即卸载。
检查启动安全性策略（Apple Silicon专属）
Apple Silicon Mac的启动链保护由固件层控制，无法用传统命令直接读取，但可通过间接方式确认。
运行：system_profiler SPHardwareDataType | grep "Chip\|Model"，确认是M系列芯片后，执行：nvram boot-args 2>/dev/null || echo "Secure Boot: Enabled (default)"。
更可靠的方式是调用私有API：defaults read /Library/Preferences/com.apple.security.bootpolicy 2>/dev/null || echo "Boot policy not found — check System Settings → Privacy & Security → Startup Security Utility"。
该策略必须设为“完整”才启用全部验证环节，图形界面路径不可跳过——终端无法直接修改此项。
