答案是无法直接对运行中的系统分区执行完整SHA-256哈希校验，因APFS加密、快照及SIP保护导致结果不可信；可行方式包括diskutil verifyVolume检查文件系统一致性、codesign验证核心应用签名、csrutil确认SIP状态及hdiutil校验静态安装镜像。
在 macOS 恢复模式中，无法直接对正在运行的系统分区（如“Macintosh HD”）执行完整哈希值校验。这不是操作遗漏，而是系统设计限制：恢复环境可挂载启动卷，但不允许对其底层块设备做全盘 SHA-256 级哈希计算（会因文件系统实时元数据、加密卷密钥、快照差异等导致结果不可信或失败）。
为什么不能直接哈希系统分区
系统卷通常为 APFS 格式，启用 FileVault 加密、本地快照、宗卷（Volume Group）结构。即使在恢复模式下挂载，shasum -a 256 或 openssl dgst -sha256 读取的是解密后的逻辑文件，而非原始镜像；且部分系统路径（如 /System/Volumes/Preboot、/private/var/db）受 SIP 保护或动态生成，哈希结果不具备可比性。
恢复模式中可行的完整性验证方式
虽然不能获取“完整哈希”，但可通过以下方法验证系统关键组件是否未被篡改：
- 在恢复模式终端中，先运行
diskutil list找到主系统卷标识（如disk1s1），再执行diskutil verifyVolume /dev/disk1s1—— 检查 APFS 文件系统结构一致性，修复逻辑错误 - 挂载系统卷后（例如
sudo mkdir /mnt && sudo mount -t apfs /dev/disk1s1 /mnt），用codesign -dv --verbose=4 /mnt/System/Library/CoreServices/Installer.app验证核心系统应用签名，确认 Authority 显示 “Apple Root CA” 和 “Apple Development” - 检查系统完整性保护状态：
csrutil status，返回 “enabled” 表示 SIP 正常激活，阻止未签名代码修改系统目录 - 运行
spctl --assess --type execute /mnt/Applications/Safari.app验证预装应用是否通过 Gatekeeper 官方签名检查
真正需要哈希比对时该怎么做
哈希校验的有效对象必须是静态、未挂载、来源明确的磁盘映像，比如：
- 从 Apple 官网下载的 macOS 安装器
Install macOS Sequoia.app/Contents/SharedSupport/InstallESD.dmg - 你自己用
hdiutil create制作的只读备份映像（.dmg 或 .cdr）
这些文件可在恢复模式终端中直接校验：hdiutil verify /Volumes/MyBackup/backup.dmg（自动读取映像头内嵌校验和）或 shasum -a 256 /path/to/InstallESD.dmg（与官网公布的 SHA-256 字符串逐字符比对，注意大小写与空格）。
日常建议：用命令行在正常系统中辅助判断
若怀疑系统已异常但还能开机，可在常规 macOS 下快速筛查：
- 运行
sudo fs_usage -f filesys | grep -i "error\|fail"观察实时磁盘 I/O 错误 - 用
tmutil verifychecksum /检查 Time Machine 备份所依赖的本地快照哈希一致性（需已启用时间机器） - 检查关键路径权限与签名：
ls -lO /System/Library/Extensions/确认无非 Apple kext；codesign -v /usr/bin/python3验证系统二进制签名有效
