沙盒应用无法获取硬件序列号、MAC地址、IOPlatformUUID等设备唯一标识，因系统主动禁止；可用替代方案包括NSUUID、Secure Enclave派生ID、App Group共享ID等隐私友好标识。
macOS 沙盒应用无法直接读取设备唯一标识符（如硬件序列号、MAC 地址、IOPlatformUUID 等），这不是权限缺失问题，而是系统主动禁止——沙盒机制从设计上就阻断了所有可跨设备、跨会话稳定识别设备的 API 调用。
沙盒下哪些“设备 ID”根本不可用
以下常见标识在沙盒环境中被内核或框架层直接屏蔽，调用会失败或返回空/占位值：
-
IORegistryEntryCreateCFProperty(…, kIOPlatformUUIDKey, …)：返回
NULL或抛出权限错误 -
sysctlbyname("hw.serial", …)：返回
EPERM（沙盒拦截，非 root 权限不足） -
getifaddrs() 获取真实 MAC 地址：仅返回虚拟接口（如
utun）地址，物理网卡地址被隐藏 -
SMC 驱动读取序列号：需要
com.apple.security.device.smc权限，但该 entitlement 不对第三方开放
沙盒中可用的替代性标识方案
系统允许使用具备“隐私友好”特性的标识，它们满足两个条件：不跨设备持久、可由用户重置或受限于沙盒边界：
- NSUUID().uuidString：每次生成新 UUID，适合单次会话临时标记，重启即变
- CFUUIDCreate(NULL)：同上，纯内存生成，无持久化能力
-
Secure Enclave 生成的密钥派生 ID：需启用
com.apple.developer.security.encrypted-archivingentitlement，并通过 CryptoKit + Secure Enclave 密钥派生，结果绑定设备但不暴露原始硬件信息 -
App Group 共享容器内的自定义 ID：多个同组应用可协商生成一个 group-scoped 标识（如哈希 bundle ID + 首次启动时间），存于
~/Library/Group Containers/xxx/，受沙盒保护但可在组内互通
Info.plist 与 entitlements 中的关键配置
即使想尝试某些受限接口，也必须显式声明 entitlement，但多数设备 ID 相关权限根本不向第三方开放：
-
com.apple.security.device.smc：仅限 Apple 签名系统进程，提交 App Store 必拒 -
com.apple.security.device.usb：仅用于枚举 USB 设备列表，不提供序列号 -
com.apple.security.device.bluetooth：可发现设备，但无法读取远程设备的 BD_ADDR（已加密处理） - 真正可用的只有：
com.apple.security.application-groups（用于 group 容器共享）和com.apple.security.files.user-selected.read-write（若需将生成的 ID 存入用户选定位置）
合规建议：用场景决定标识粒度
不必执着于“全局唯一设备 ID”。应按实际用途选择合适方案：
- 做用户登录绑定？用 Keychain 中保存的 account-bound UUID（配合
keychain-access-groups） - 做本地缓存隔离？用 app 容器路径哈希（
FileManager.default.containerURL(forSecurityApplicationGroupIdentifier:...)） - 做多端协同？走 CloudKit 的 CKRecordZoneID 或 CKContainer.default().recordZoneID，由 Apple 后台统一映射
- 做反作弊轻量识别？组合 当前时区 + 系统语言 + 屏幕缩放比例 + 首次启动时间戳哈希，沙盒内完全可读且难伪造
