macOS加密卷自动挂载需平衡安全与便利：密码必须存入登录钥匙串并设“始终允许”权限，区分APFS/CoreStorage类型使用对应解锁命令，通过launchd监听系统事件静默挂载，Time Machine盘须避免特殊字符且禁用忽略标记。
macos 中加密卷的自动挂载不是“开个开关”就能实现的功能，它本质是安全机制与访问便利之间的精细平衡：系统绝不会跳过密码验证，但可以做到在你真正需要时，**不弹窗、不中断、不手动输密码**地完成解锁与挂载。关键不在“绕过安全”，而在“让安全流程静默执行”。
确保钥匙串权限与密码存储正确
所有自动化挂载的前提是——密码已存入登录钥匙串，且对应条目具备“始终允许”权限。
- 插入加密硬盘后，若未自动挂载，打开“钥匙串访问”，搜索卷名（如 SecureBackup），双击密码项 → 切换到“访问控制”标签 → 勾选“始终允许”，输入管理员密码确认
- 对磁盘映像（.sparsebundle），需用
security add-generic-password显式存入钥匙串，服务名（-s）要与脚本中读取的一致，例如：security add-generic-password -s "MyProjectVault" -w "p@ssw0rd" - 避免使用“iCloud 钥匙串”存加密卷密码——它在登录前不可用，会导致开机/唤醒时挂载失败
区分卷类型，选用对应解锁命令
APFS 加密卷和旧版 CoreStorage 卷（如 HFS+ FileVault2）必须用不同命令，混用会报错且无法挂载。
- APFS 卷（macOS 10.13+ 默认）：用
diskutil apfs unlock /dev/diskXsY，成功后自动挂载到/Volumes/卷名 - CoreStorage 卷（常见于老备份盘或升级遗留）：先运行
diskutil cs list找到逻辑卷 UUID（LVUUID），再执行diskutil cs unlock LVUUID - 快速判断类型：运行
diskutil info /dev/diskXsY | grep "File System"，输出含 APFS 或 HFS+ 即可明确
用 launchd 实现可靠触发挂载
不依赖 Finder 双击或用户点击，而是由系统事件驱动——比如设备接入、网络就绪或登录完成。
- 为外置硬盘创建
~/Library/LaunchAgents/local.disk-auto-mount.plist，设置StartOnMount或监听com.apple.system.config.network_change（适用于网络可达性判断） - 脚本中务必加入挂载前检查：
mount | grep "/Volumes/卷名"，避免重复挂载导致错误 - 挂载点路径（如
/mnt/secure）需提前用sudo mkdir -p /mnt/secure创建，并设好权限，否则hdiutil或diskutil会失败
Time Machine 加密盘的特殊处理
Time Machine 自身不管理挂载，但它严格依赖系统级挂载状态。若备份中断，大概率是盘已连接但未挂载。
- 确保备份盘密码存入登录钥匙串（非系统钥匙串），且卷名不含空格或特殊字符（如用 TM-Backup 而非 Time Machine Backup!）
- 可配一个轻量 launchd agent，在
WakeAtLogin后延时 10 秒执行diskutil mount diskXsY，覆盖睡眠唤醒场景 - 禁用 Time Machine 的“忽略此磁盘”标记：在终端运行
defaults write com.apple.TimeMachine DoNotOfferNewDisksForBackup -bool FALSE
