macOS 加密卷升级可行但需严控风险：升级前验证固件、APFS格式、钥匙串及系统版本兼容性；备份须加密且设备解锁；规避双系统、Target Disk Mode等高危场景；升级后须验证FileVault状态、密码登录、钥匙串及外置盘访问。
macOS 磁盘加密（如 FileVault 或 APFS 加密卷）本身不阻止系统升级，但会显著改变升级过程中的风险点和操作逻辑。关键不是“能不能升”，而是“怎么升才安全、可回退、不锁死”。
升级前必须验证加密环境是否稳定
FileVault 启用后，系统依赖密码或恢复密钥解密启动卷——任何环节中断都可能导致无法进入系统。升级前需确认：
- 设备固件已更新至最新版本：旧 EFI 可能导致加密卷在升级后无法唤醒或卡在恢复界面，尤其影响 2017–2019 款 Intel Mac
- macOS 版本 ≥ Ventura（13.0）：Monterey 及更早版本存在 FileVault 与 Time Machine 备份元数据冲突的 Bug，可能造成加密状态异常
- 启动磁盘为 APFS 格式且未混用 HFS+ 分区：HFS+ 卷无法启用 FileVault；若系统卷仍为 HFS+，需先通过“磁盘工具”转换为 APFS，再升级
- 钥匙串访问正常：升级过程中系统会重建部分密钥链项，若登录钥匙串已损坏，可能丢失 Wi-Fi 密码、开发证书等关键凭证
备份策略必须适配加密状态
Time Machine 在 FileVault 开启时仍可正常备份，但有三点必须注意：
- 备份磁盘本身也建议启用加密（在“时间机器”设置中勾选“加密备份”），避免备份文件被物理窃取后直接读取
- 确保备份时 Mac 处于解锁状态（即已输入密码并完成登录），否则 Time Machine 可能跳过 ~/Library/Keychains 等受保护目录
- 避免使用老旧 AirPort 基站做备份目标：加密外置硬盘无法挂载到 AirPort，会导致本地快照失败，进而影响升级后回滚能力
升级过程中警惕四类高危交互场景
某些日常操作在加密状态下与 macOS 升级存在隐性冲突，需提前规避：
- 禁用 Boot Camp 或双系统引导：FileVault 会干扰 Windows 分区识别，升级后可能无法从 Windows 启动项进入 macOS 恢复模式
- 暂停 Target Disk Mode 使用：升级期间若另一台 Mac 尝试以目标磁盘模式读取该机加密卷，需图形界面输入密码，而 Recovery 环境无此支持，易卡死
- 检查企业 MDM 配置：如 Jamf 或 Mosyle 未注入 FileVault 恢复密钥，远程解锁策略失效，升级后设备可能变砖
- 暂离 iCloud 密钥同步：iCloud 不应存储 FileVault 恢复密钥，升级期间若密钥链同步异常，可能造成本地密钥丢失且无云端兜底
升级后必须立即验证加密与访问链路
安装完成重启后，不能仅凭“能进桌面”就认为成功。需逐项确认：
- 打开“系统设置 > 隐私与安全性 > 文件保险箱”，确认状态为“已开启”，且显示“正在加密”或“加密完成”而非“已停用”
- 尝试重启并手动输入登录密码——这是验证 FileVault 解密流程是否完整的关键动作
- 打开“钥匙串访问”，检查登录钥匙串是否自动解锁；若提示重设，说明密钥链未正确迁移，需从备份中恢复 ~/Library/Keychains/login.keychain-db
- 运行一个需访问加密外置盘的应用（如数据库客户端），确认其仍能正常挂载并读写对应卷
