要确认Mac上文件最后修改者，需用stat命令查所有者（%Su字段），再用xattr或mdls检查扩展属性中的来源信息，若启用审计日志则可通过ausearch+aureport精确追溯操作用户。
要确认Mac上某个文件最后一次被谁修改过，不能只看访达简介里的“修改日期”，因为系统默认不记录操作者身份；必须通过终端命令读取文件的底层所有权变更痕迹和扩展属性，才能锁定实际修改用户。
用stat命令查看文件最后修改时的所有者
这一步能直接告诉你文件当前归属哪个用户，而绝大多数情况下，最后修改该文件的人就是当前所有者——除非权限被显式转移过。
打开终端 → 输入 stat -f "最后修改用户:%Su|所属群组:%Sg|修改时间:%Sm" 文件路径 → 将文件拖入终端窗口补全路径 → 回车执行。
输出中 【%Su】 字段显示的就是当前文件所有者用户名，即最可能的最后修改人。注意：若该文件刚被另一个账户用 sudo chown 强制改过归属，此结果就不可信，需结合下一步验证。
检查文件扩展属性中的操作痕迹
macOS不会自动记录“谁在什么时间修改了文件”，但某些场景会留下间接线索：比如从邮件附件下载、通过Safari保存、或经由受管理设备同步时，系统会在扩展属性里写入来源标识。
方法一：运行 xattr -l 文件路径 查看是否有 com.apple.metadata:kMDItemWhereFroms 属性，它通常包含原始下载账户名或邮箱地址。
方法二：若文件位于iCloud Drive同步目录下，且你启用了“使用iCloud备份App数据”，可尝试运行 mdls -name kMDItemLastUsedDate -name kMDItemUsedDates 文件路径，部分App（如Pages、Numbers）会把最近编辑账户信息写入 kMDItemUsedDates 的JSON结构中。
注意：【xattr输出为空不等于没人改过，只是没留下可追溯的元数据】。
通过系统日志反查近期写入行为
这是唯一能真实捕获“谁在何时修改了哪个文件”的方式，但前提是你的Mac已开启详细审计日志——默认关闭，需手动启用。
第一步：以管理员身份运行 sudo auditctl -e 2 启用审计子系统。
第二步：添加监控规则：sudo auditctl -w 文件路径 -p wa -k file_mod_watch，其中 【-p wa 表示监控写入(write)和属性修改(attribute)事件】。
第三步：触发一次对该文件的保存操作（如用TextEdit打开并另存为同一路径）。
第四步：执行 sudo ausearch -m write,attr -ts recent -k file_mod_watch | aureport -f -i，输出中将明确列出执行该操作的UID及对应用户名。
