macOS应用沙盒通过内核强制执行最小权限原则，默认仅允许访问自身容器目录和tmp目录，用户文件需经NSOpenPanel授权并配合security-scoped bookmarks管理，权限声明须在Xcode中精准配置，确保数据隔离与隐私安全。
macOS 应用沙盒机制通过强制隔离和最小权限原则，切实保障用户个人隐私安全。它不是可选的“防护插件”，而是由内核执行的运行时约束——应用一旦启用沙盒，就无法绕过规则直接访问用户文档、桌面、照片库或通讯录等敏感位置，除非用户主动授权且开发者正确实现凭证管理。
沙盒如何守住隐私第一道门
沙盒默认禁止应用访问任何用户目录（如 ~/Documents、~/Desktop、~/Downloads），连 /Users/xxx 下的路径都不可见。所有读写操作被限制在两个安全区域：
- 应用专属容器：~/Library/Containers/<bundle-id>/Data/（含 Documents、Caches、Preferences 等子目录）
- 临时空间：~/Library/Containers/<bundle-id>/Data/tmp/
这意味着即使应用存在漏洞，攻击者也无法扫描你的家庭目录、窃取笔记或备份文件——数据天然被隔离开来。
用户授权才是访问前提，而非代码硬编码
想读一个 PDF 或保存一份报告？不能靠 FileManager.default.urls(for: .documentDirectory, ...) 直接打开，必须走系统级交互流程：
- 调用 NSOpenPanel 或 NSSavePanel，让用户亲手选择文件或文件夹
- 对返回的 URL 执行
startAccessingSecurityScopedResource()才能开始读写 - 操作完成后立即调用
stopAccessingSecurityScopedResource() - 若需长期复用（如下次启动仍要访问该文件夹），须生成并持久化 security-scoped bookmark，存入自身容器内
这个流程把控制权完全交还给用户，杜绝了后台静默读取的可能性。
部署和使用军舰的 macOS Automator 自动化服务集合。包含 5 个实用工作流：PDF转JPG、PNG重命名并转JPG、图像拼接、解压RAR、顺序命名图像文件。一键安装所有服务到 ~/Library/Services/ 目录。使用场景：(1) "安装我的自动化服务"，(2) "部署所有 Automato...
权限声明必须精准，且与代码行为一致
仅写对代码远远不够，Xcode 中三项配置缺一不可：
- 在 Signing & Capabilities 中开启 App Sandbox（自动生成
com.apple.security.app-sandboxentitlement） - 根据实际需要勾选对应权限，例如：
com.apple.security.files.user-selected.read-write（用于读写用户选中的文件夹） - Info.plist 中不添加未声明的权限键，避免审核失败或运行时报错
像 TomatoBar、Maccy 这类工具应用，只声明 user-selected.read-only 和剪贴板权限，不申请网络、定位或相册访问，正是“最小权限”原则的落地体现。
沙盒让数据泄露风险大幅降低
所有用户数据——包括配置、日志、缓存、历史记录——都被锁定在应用自己的容器路径中，例如：
-
Maccy：数据存于
~/Library/Containers/com.maccy.Maccy/Data/ -
TomatoBar：日志写入
Caches子目录，而非全局路径 - 阶跃AI Mac版：全局记忆与复盘报告全部本地存储，不上传、不联网
这种隔离设计意味着：即使某款应用被逆向分析或意外崩溃，它的数据也无法被其他进程读取，更不会泄露到云端或第三方服务。
