沙盒应用在macOS无法启动，主因是Gatekeeper拦截或签名失效，而非权限问题；启动失败需检查签名与可执行位并绕过Gatekeeper，运行中读写失败才属沙盒限制，须通过NSOpenPanel和安全书签授权。
沙盒应用在 macOS 上无法启动，通常不是“权限坏了”，而是系统按设计阻止了未授权的访问行为。关键不在强行提权，而在让应用合规获得所需能力——尤其要区分“启动失败”和“运行中读写失败”两种情况。
先确认是不是真被沙盒拦截
报错提示“Operation not permitted”或“Not authorized”时，别急着改 chmod 或 chown。先看上下文：
- 错误是否发生在启动瞬间（比如双击无反应、Dock 图标弹一下消失）？这大概率不是沙盒问题，而是 Gatekeeper 拦截、可执行权限缺失或签名失效
- 错误是否出现在打开文档、访问桌面、读取外接硬盘之后？这才是典型沙盒限制，需走 NSOpenPanel + 安全书签流程
- 终端运行 app 后出现
launchctl: Not privileged to start service，说明脚本或后台服务被沙盒禁止调用系统级进程管理接口
修复启动失败：绕过 Gatekeeper 与补全执行权限
若双击应用无响应、提示“已损坏”或“无法验证开发者”，重点检查签名与可执行位：
- 右键应用 →「显示简介」→ 取消勾选「锁定」；底部「共享与权限」确保你的账户是「读与写」
- 右键 →「显示包内容」→ 进入
Contents/MacOS/→ 找到主二进制文件（同名无后缀），拖进终端执行：chmod +x /path/to/binary - 仍被拦截？在 Finder 中右键应用 →「打开」（不是双击），弹窗点「打开」即可临时豁免 Gatekeeper
- 长期需要运行未签名工具，可在终端运行：
sudo spctl --master-disable，重启后生效（仅建议开发调试用）
修复运行中权限不足：走安全书签路径
沙盒应用默认只能读写自己容器目录（~/Library/Containers/xxx/Data）。想访问 Documents、Desktop 或外接卷，必须用户主动授权：
- 首次启动时调用
NSOpenPanel，设canChooseDirectories = true，让用户选中目标文件夹 - 拿到 URL 后立刻调用
url.startAccessingSecurityScopedResource()，操作完必须配对调用stopAccessing - 用
url.bookmarkData(options:)生成书签数据，存进自身容器内（如Application Support目录），不能存在/tmp或全局路径 - 下次启动时，用
URL.resolvingBookmarkData(_:)恢复 URL，再startAccessing才能读写 - Info.plist 必须含
com.apple.security.files.user-selected.read-write并设为true，Xcode Capabilities 中勾选「User Selected File Access」可自动生成
避免常见陷阱
很多问题其实卡在细节：
- 修改 Info.plist 后必须重新签名：
codesign --force --deep --sign - /Applications/YourApp.app - Electron 应用要在
BrowserWindow创建前完成书签恢复和startAccessing，否则窗口可能无法加载本地资源 - 不要用
com.apple.security.temporary-exception.files.absolute-path.*提交 App Store，这类例外会被拒；它只适合 MAS 开发阶段调试 - 辅助功能（Accessibility）、自动化（Apple Events）、照片库等权限，需单独在系统设置中开启，且 Info.plist 要对应声明（如
com.apple.security.automation.apple-events）
