不能直接软链接 /var/log 到外置硬盘，因系统启动早期即依赖该路径写入关键日志，外置盘存在挂载延迟、未就绪或断连风险，易致启动卡死、syslogd崩溃、安装失败或诊断工具失效。

macos 的系统日志目录（/var/log）默认位于根卷，不能直接整体软链接到外置硬盘——因为系统在启动早期、甚至用户登录前就依赖该路径写入关键日志（如 system.log、asl/、install.log），而外置盘存在挂载延迟、未就绪或意外断连等风险，极易导致启动卡死、syslogd 崩溃、安装失败或诊断工具失效。

为什么不能直接 ln -s /var/log 到外置盘

系统级日志服务（syslogd、logd、asld）由 launchd 在 root 用户上下文直接访问 /var/log 路径，不走 Finder 或用户层抽象。软链接虽能跨卷，但：

• 系统启动时外置盘尚未挂载，/var/log 目标路径不可达，服务降级或静默失败
• logd 默认以原子方式轮转日志，若目标卷突然掉线，可能造成日志丢失或守护进程反复重启
• diskutil apfs list 和 tmutil 等工具会校验 /var/log 是否在 APFS 卷上，软链接可能触发误报
• 部分 MDM 策略或安全审计工具（如 Jamf、Microsoft Intune）会检查 /var/log 的挂载位置和 inode 属性，软链接可能导致合规性告警

更安全的替代方案：重定向特定日志子目录

如果你只是想释放系统盘空间、归档长期日志或集中管理，可只对低耦合、非启动依赖的日志子目录做软链接，例如：

• /var/log/install.log：仅记录 macOS 更新与软件安装事件，频率低、体积可控 → 可安全迁移
• /var/log/system.log（需谨慎）：主系统日志，建议保留本地，但可用 log config 将其输出副本追加到外置盘
• /var/log/DiagnosticReports/：崩溃报告，体积大但非实时写入 → 推荐迁移
• /var/log/secure.log：认证日志，敏感度高，建议保留在本地

操作示例（迁移 DiagnosticReports）：

（请先退出图形界面，用管理员账户进入恢复模式或安全模式操作）

1. 创建目标目录：
sudo mkdir -p "/Volumes/ExtSSD/DiagnosticReports"

2. 移动现有内容并建立软链接：

sudo mv /var/log/DiagnosticReports /var/log/DiagnosticReports.bak<br>
sudo ln -s "/Volumes/ExtSSD/DiagnosticReports" /var/log/DiagnosticReports

3. 设置正确权限（必须）：

sudo chown root:wheel "/Volumes/ExtSSD/DiagnosticReports"<br>
sudo chmod 755 "/Volumes/ExtSSD/DiagnosticReports"

推荐做法：用 log config + 自定义日志流

macOS 11+ 内置 log 命令支持将日志流实时导出到文件，比硬改路径更稳定：

• 新建外置盘上的日志目录：sudo mkdir -p "/Volumes/ExtSSD/logs"
• 创建后台日志收集任务（使用 launchd）：
  编写 /Library/LaunchDaemons/com.user.external-logs.plist，内容含：
  

  <string>log</string><br>
      <string>stream</string><br>
      <string>--predicate</string><br>
      <string>process != "log"</string><br>
      <string>--style</string><br>
      <string>json</string><br>
      <string>--output</string><br>
      <string>/Volumes/ExtSSD/logs/system-$(date +%Y%m%d).log</string>

• 加载任务：sudo launchctl load /Library/LaunchDaemons/com.user.external-logs.plist

这样既保留了 /var/log 原始结构，又实现了日志外存、按日轮转、无单点故障。

绝对不要做的操作

以下行为会破坏系统稳定性，已验证引发多次无法启动或恢复模式失效：

• 执行 sudo ln -sf "/Volumes/ExtSSD/log" /var/log
• 修改 /etc/synthetic.conf 强行覆盖 /var/log
• 用 mount --bind 或 diskutil apfs addVolume 尝试“伪装”外置卷为根卷子卷
• 删除原 /var/log 后再建软链接（系统可能重建空目录并拒绝写入）

本质上，/var/log 是系统运行时基础设施的一部分，不是普通用户数据目录。它的路径是内核和 launchd 预设的，不支持运行时重定向。真正需要长期归档，应靠 log collect 定期导出，或用 rsync 每日凌晨同步压缩包到外置盘。