开启 macOS FileVault 需先验证三项硬性条件（Recovery HD 存在且位于启动卷、启动盘为 APFS 格式、管理员设强密码并禁用自动登录），再通过系统设置、终端命令或恢复模式任一方式启用，并务必离线妥善保管 24 或 28 位恢复密钥。
开启 macOS FileVault 不是点一下“打开”就完事的操作，而是一套需前置验证、路径选择和密钥落地的完整流程。它用 XTS-AES 128 位加密保护整块启动盘，一旦启用，所有数据在写入磁盘前自动加密，读取时实时解密，日常使用几乎无感，但前提是你得把恢复密钥真正管住。
必须提前确认的三项硬性条件
跳过检查直接启用，大概率卡在“正在启用”或静默失败，且系统不报错。务必逐项验证：
-
Recovery HD 必须存在且位于启动卷内：打开终端，运行
diskutil list | grep "Recovery"。若无输出，或显示 Recovery 在外置硬盘上，则 FileVault 无法启用；需进恢复模式用“磁盘工具”修复或重建恢复分区。 -
启动盘格式必须为 APFS：旧系统升级后可能仍为 HFS+。可用
diskutil info / | grep "Type"查看，若非 APFS，需先完整备份，再执行diskutil apfs convert /转换（仅限支持机型）。 -
至少一个管理员账户设了强密码，且禁用自动登录：空密码、纯数字密码、或开启“自动登录”，都会导致启用失败——系统设置里 FileVault 开关会灰显，终端命令
fdesetup enable也会静默退出，毫无提示。
三种启用方式及对应密钥处理
不同场景选不同路径，密钥生成与保管逻辑也完全不同：
macOS UI 自动化技能包 —— 用 Python 控制你的 Mac
下载
让 macOS 自动化像说话一样简单 —— 用代码控制你的 Mac，无需学习 AppleScript 系统要求 macOS 14+ (Sonoma) Python 3.9+ 需要开启：辅助功能 + 屏幕录制权限
- 系统设置图形界面（推荐日常用户）：进入“系统设置 → 隐私与安全性 → 文件保险箱”，解锁后点击“打开文件保险箱”。可选“将恢复密钥保存到 iCloud”（需已登录且开启双重认证），或“创建个人恢复密钥”。选后者会显示一串 24 或 28 位字母数字组合，必须当场用纸笔抄写、离线存放——它不会再次出现，也无法找回。
-
终端命令行（适合批量或精确控制）：打开终端，先运行
fdesetup status确认关闭状态，再执行sudo fdesetup enable -authrestart。终端立即输出恢复密钥和 UUID，务必复制并存入离线介质（如加密 U 盘或打印件）；该密钥权限自动设为 600，比直接输出更安全。 -
恢复模式启用（系统无法进桌面时）：关机后长按电源键进启动选项 → 选“选项”→ 进恢复模式 → “实用工具”→“终端”，运行
fdesetup enable -defer /Volumes/你的卷名（卷名可用ls /Volumes查看）。终端当场输出密钥，必须手写记录，错过即永久丢失。
恢复密钥的真实用途与使用时机
它不是备用密码，而是解密磁盘的唯一数学凭证，只在以下情况生效：
- 所有用户账户密码都遗忘，且未启用 iCloud 恢复；
- 重装系统后首次启动，提示“输入恢复密钥以解锁磁盘”；
- 开机时出现灰色锁图标并要求输入密钥（常见于恢复模式下执行磁盘修复后）。
注意：用 Apple ID 重设登录密码，只改账户密码，不触碰加密层；恢复密钥才能真正解锁磁盘内容。一旦丢失密钥又忘密码，数据将不可恢复。
验证是否真正启用与后续管理
别信界面显示，终端才是权威：
- 运行
fdesetup status，返回FileVault is On.才算成功； - 后台加密进度可在菜单栏小锁图标中查看，也可用
diskutil apfs list | grep -A5 "FileVault"查状态； - 企业环境可通过 Intune 等 MDM 工具集中托管密钥、轮换密钥、生成加密报告；个人用户切勿把密钥存 Mac 本地、iCloud 备忘录或邮件里——离线、物理、可读、难篡改，才是底线。
