管理员权限控制“谁可以发起操作”，SIP作为内核级硬闸门决定“操作能否被执行”；即使输入正确密码并使用sudo，对/System、/usr（不含/usr/local）、/bin、/sbin等受保护路径的写入仍被拒绝，需在恢复模式下用csrutil调整。
管理员权限和系统完整性保护（SIP）在 macOS 中分工明确、彼此独立，但又在实际操作中紧密协同。管理员密码能授权你“做某事”，而 SIP 决定这件事“能不能被允许执行”——哪怕你输入了正确的密码，SIP 仍可能直接拒绝。
管理员权限：控制“谁可以发起操作”
管理员账户拥有执行 sudo、安装 pkg、修改 /Library 或 /Applications 等路径的权限。它本质上是用户空间的访问控制层，依赖密码认证和 ACL 判断是否放行文件写入或进程启动。
- 输入管理员密码后，installer 可向 /Applications 写入应用，向 /Library/Preferences 写入配置
- 对 ~/Desktop 或 /usr/local 这类非受保护路径，管理员权限可直接完成读写，无需额外干预
- 但一旦操作目标进入 SIP 保护范围（如 /usr/bin/python3 或 /System/Library/Extensions），即使加了 sudo，系统也会返回 “Operation not permitted”
系统完整性保护：内核级“硬闸门”
SIP 是在内核启动早期加载的强制策略，不看用户身份、不验密码、不理会 root 权限。它通过扩展属性 com.apple.rootless 和配置文件 /System/Library/Security/rootless.conf 标记哪些路径和行为被锁定。
- 保护范围固定：/System、/usr（不含 /usr/local）、/bin、/sbin、/private/etc、预装 Apple 应用二进制等
- 限制不止于文件写入，还包括：代码注入（如 lldb 附加 Dock）、运行时调试、未签名内核扩展加载、DTrace 跟踪系统进程
- 它的开关必须在恢复模式下用 csrutil 操作，普通系统下无法绕过
两者如何共同影响日常操作
多数用户遇到的“权限失败”，其实是这两层机制叠加作用的结果。例如安装一个需要替换系统命令的开发工具：
- 第一步：管理员密码授权安装器运行（管理员权限生效）
- 第二步：安装器尝试复制文件到 /usr/bin —— SIP 拦截，报错“Operation not permitted”
- 第三步：若强行禁用 SIP，虽能完成写入，但会削弱整个系统的可信基座，且 Apple 公证机制、Gatekeeper 验证也可能连锁失效
更安全的做法是适配 macOS 的设计边界：把工具装到 /usr/local/bin（SIP 允许）、用 Homebrew 管理、或通过 LaunchAgent 在用户空间完成增强功能，而非侵入系统路径。
权限异常时该查哪一层
遇到“Permission denied”提示，先快速定位问题源头：
- 如果是 ~/Downloads 或 ~/Documents 下的文件报错 → 查用户所有权与 ACL（ls -le），和 SIP 无关
- 如果是 /usr/bin、/System 或 预装 App 报错 → 基本确定是 SIP 拦截，csrutil status 可确认状态
- 如果弹窗要求“辅助功能”或“屏幕录制”权限却无法保存 → 属于 TCC（透明性、同意和控制）数据库问题，和 SIP 无直接关系，但 SIP 启用时会强化 TCC 的校验强度
