macOS启动磁盘仅支持全卷FileVault自动解密，不支持子分区级自动挂载；额外APFS卷需单独加密并信任钥匙串；加密.sparsebundle配合launchd是更灵活可控的替代方案。
macos 启动磁盘本身不支持“分区级自动解密挂载”——它只支持全卷（即整个启动宗卷）的 filevault 加密与登录即解密。你无法对启动磁盘上的某个子分区（如 /volumes/data、/users/shared 等独立 apfs 宗卷）单独启用“登录时自动解锁”，除非该分区是独立加密的 apfs 卷或加密磁盘映像，且满足钥匙串与挂载策略条件。
下面分三类情况说明如何配置“自动解密并挂载”：
一、启动磁盘主宗卷（/）：FileVault 是唯一正确方式
这是系统默认且唯一受 Apple 官方保障的自动解密路径：
- 开启路径：系统设置 → 隐私与安全性 → 文件保险箱 → 点击锁图标解锁后开启
- 登录即解密：输入用户密码后，系统自动派生密钥解密整个启动卷，包括
/、/System、/Users、缓存、交换文件、甚至未覆盖的已删数据 - 所有本地账户均可解锁：非管理员账户需由管理员在“文件保险箱”中点击“启用用户”手动授权
- 恢复凭证二选一：iCloud 恢复密钥（需双重认证）或 24 位本地恢复密钥（必须手抄离线保存）
⚠️ 注意：这不是“分区配置”，而是整卷绑定。APFS 容器内的多个宗卷（Volumes）共享同一加密底层，但只有主启动宗卷能享受登录自动解密；其他同容器内新建的宗卷（如用磁盘工具新增的“Data”卷）默认不加密、也不自动解锁。
二、启动磁盘上的额外 APFS 宗卷（非启动卷）：需单独加密 + 钥匙串信任
若你在同一物理磁盘上创建了第二个 APFS 宗卷（例如叫 “SecureData”），想让它也“插电即挂、登录即用”：
- 先用磁盘工具对该宗卷执行「抹掉」→ 格式选 APFS（加密） → 设置密码并勾选「记住此密码在钥匙串中」
- 系统会在连接设备（即开机/唤醒）时尝试从钥匙串读取密码并挂载
- 若未自动挂载，打开「钥匙串访问」→ 搜索该宗卷名称 → 双击对应密码项 → 勾选「始终允许」→ 输入管理员密码确认
- 可用终端验证：
diskutil apfs unlockVolume /dev/disk1s3 -passphrase "xxx"（替换为实际标识符）
✅ 成功后，该卷会出现在 /Volumes/SecureData，且无需重复输密。
三、用加密 .sparsebundle 替代“伪分区”：最灵活可控的方案
如果你实际想要的是一个逻辑隔离、可移动、自动挂载的“加密数据区”，推荐放弃分区思路，改用加密磁盘映像：
- 在访达中右键目标文件夹 → 按住 Control 键点击 → 「对 [名称] 进行加密」
- 或用终端创建：
hdiutil create -type SPARSEBUNDLE -layout APFS -encryption AES-256 \ -agentpass -o ~/Documents/SecureData.sparsebundle \ -volname "SecureData"
- 首次挂载时勾选「记住此密码在钥匙串中」
- 编写简单 launchd 脚本，在登录时自动挂载（不显示在访达中，更干净）：
- 创建
~/Library/LaunchAgents/local.mount.secure.plist -
<string>hdiutil</string><string>attach</string><string>-quiet</string><string>-nobrowse</string><string>~/Documents/SecureData.sparsebundle</string> launchctl load ~/Library/LaunchAgents/local.mount.secure.plist
- 创建
该方式本质是“文件级容器”，但行为接近独立加密卷，且支持跨设备、版本回滚、备份友好。
不复杂但容易忽略：启动磁盘的自动解密是系统级能力，不能拆解到子卷；真要多区域加密，靠独立加密卷或 .sparsebundle 更可靠、更可控。
