macOS系统升级需严格遵循“来源可信、安装受控、落地可靠”三原则：升级前校验版本、空间、签名与Gatekeeper状态；升级中验证安装包签名及补丁加载；升级后交叉核验版本号、AMFI、SIP及系统命令执行情况，并启用后台安全更新机制。
macOS 系统升级不是单纯点“更新”就完事的操作，它涉及多个环节的安全控制与可信验证。整个过程围绕“来源可信、安装受控、落地可靠”三个核心展开，缺一不可。
升级前：确认基础环境可信
系统升级前必须确保当前状态稳定、空间充足、策略启用：
- 运行 sw_vers 和 uname -r，记录当前版本号与内核版本，作为后续比对依据
- 执行 df -h / 检查根分区剩余空间，确保 ≥25 GB（解压+临时文件所需）
- 若手动下载 .pkg 补丁包，用 shasum -a 256 Installer.pkg 核对官网公布的 SHA-256 值；若通过“软件更新”界面触发，则跳过此步（系统已内置签名校验）
- 运行 spctl --status，输出应为 “assessments enabled”，表示 Gatekeeper 正常工作，未被禁用或绕过
升级中：盯住安装包与加载链安全
安装过程看似静默，但关键安全信号可通过终端实时捕捉：
macOS Automator Services
下载
部署和使用军舰的 macOS Automator 自动化服务集合。包含 5 个实用工作流：PDF转JPG、PNG重命名并转JPG、图像拼接、解压RAR、顺序命名图像文件。一键安装所有服务到 ~/Library/Services/ 目录。使用场景：(1) "安装我的自动化服务"，(2) "部署所有 Automato...
- 双击 .pkg 安装时，在终端运行 codesign -dv /path/to/Installer.pkg，确认 Authority 字段含 “Apple Root CA” 或 “Apple Distribution”
- 如弹出“无法验证开发者”，不要直接点“仍要打开”——先查证书时效：security find-certificate -p login.keychain | openssl x509 -noout -dates
- 安装完成、重启前，执行 pkgutil --pkgs | grep -E "(Security|macOS|Update)"，确认补丁包名已出现在已安装列表中
升级后：交叉验证版本生效与机制完好
重启后不能只看“关于本机”，需多维度确认升级真实落地：
- 运行 softwareupdate --history，检查最新条目是否含明确更新名称（如“macOS 15.4.1 Update”）及合理时间戳
- 执行 sw_vers，输出版本号须与 Apple 官方公告完全一致；若仍显示旧版，可能是仅更新了辅助组件（如词典、字体），需查阅该补丁说明文档
- 关键安全服务校验：sudo kmutil showloaded | grep -i amfi 确认 AMFI 已加载；csrutil status 确保 SIP 处于启用状态
- 抽样调用系统命令如 diskutil list 或 system_profiler SPSoftwareDataType，无报错说明核心框架未损坏
后台更新的自动安全机制
除完整系统升级外，macOS 还持续通过后台方式加固安全：
- 后台安全改进：在两次大版本更新之间提供额外防护，无需重启即生效
- 安全性配置更新：包括 Gatekeeper AllowList、EFICheck 固件验证、不兼容内核扩展拦截等，重启后才完全生效
- 系统数据文件：如恶意软件特征库、字体、词典等，由“安装安全响应和系统文件”选项控制，默认开启
- 可在“系统设置 > 通用 > 软件更新 > 自动更新 > 更多信息”中确认这些选项已启用
整个升级流程强调可验证、可追溯、可回退。不依赖视觉判断，而靠命令输出、签名状态和结构比对来下结论。
