Time Machine 备份安全取决于备份盘是否独立加密，FileVault 不自动保护备份；外置硬盘需勾选“加密备份磁盘”，网络备份须用加密.sparsebundle；APFS 快照非备份，需定期校验实体文件。
macOS 磁盘加密（FileVault）本身不自动保护 Time Machine 备份，备份是否安全，取决于备份目标是否独立启用加密——这是最常被忽略的核心前提。
Time Machine 备份盘必须单独加密
即使你的 Mac 启用了 FileVault，外置硬盘或网络位置上的备份数据默认仍是明文。系统不会同步密钥，也不会自动加密备份内容。
- 连接新外置硬盘后，在“系统设置 → Time Machine → 添加备份磁盘”中，务必勾选“加密备份磁盘”
- 系统会自动抹盘、格式化为 APFS 加密卷，并在首次备份时启用全盘加密
- 已存在的未加密备份盘若想转为加密，需先移除备份磁盘设置，再重新添加并勾选加密选项（原有备份会被清空）
网络备份需用 .sparsebundle 封装加密
普通 SMB 或 NAS 共享无法直接支持 Time Machine 加密备份。传输加密 ≠ 静态存储加密。
- 推荐做法：在 NAS 上创建一个加密的 .sparsebundle 映像文件，挂载后作为本地磁盘使用
- 所有写入实时加密，卸载后整个文件就是自包含的加密备份包
- 避免将加密外置硬盘直连 AirPort 基站或 Time Capsule——这些设备不支持加密磁盘作为备份目标
APFS 快照 ≠ 备份，加密也不改变这一本质
本地快照只是原卷的时间点视图，不加密、不校验、不跨设备，一旦原盘损坏，快照全部失效。
- 外置 Time Machine 备份虽完整，但若未定期校验，可能因磁盘错误或中断导致静默损坏
- 校验不能只看快照是否存在，要落到实体：用 tmutil verifychecksums 检查 .backupdb 目录，或对导出的 .dmg 执行 hdiutil verify
- 快照堆积会挤占 SSD 空间，干扰 Spotlight 和 iCloud；升级后残留的 com.apple.os.update 快照常占数 GB 隐形空间
虚拟机与敏感数据需额外隔离
FileVault 对主机上以普通文件形式存在的虚拟机磁盘无直接保护作用。
- 建议将虚拟机磁盘文件存放在已加密的 APFS 卷内，或直接用加密 .sparsebundle 存储整个 VM 目录
- 企业环境可通过 MDM（如 Jamf）策略强制仅向加密本地磁盘备份，并禁用未加密目标
- 安全虚拟内存始终开启，但它只保护交换数据，不影响备份文件本身的加密状态
