T2芯片Mac需通过恢复环境中的“启动安全性实用工具”调整安全启动（完整/中等/无）和外部启动选项；Apple芯片Mac则在同工具中选择“完整/降低/宽松”安全策略，后者支持旧版macOS及内核扩展。
修改 macos 启动磁盘的安全启动策略等级，取决于你的 mac 芯片类型——t2 芯片和 apple 芯片（m1/m2/m3/m4）的设置路径、选项和逻辑完全不同，不能混用。
T2 芯片 Mac：通过“启动安全性实用工具”调低安全启动级别
只有 2018 年后多数 MacBook Pro/Air、iMac Pro、2019 年后的 iMac/macOS mini/Mac Pro 等搭载 T2 芯片的机型才提供该工具。它直接控制硬件级启动行为：
- 必须先进入 macOS 恢复环境：关机后按住 Command + R 开机，直到出现“macOS 实用工具”界面
- 顶部菜单栏 → “实用工具” → “启动安全性实用工具”
- 输入管理员密码（非固件密码，也非 Apple ID 密码）
- 在窗口中调整两项关键设置：
- 安全启动：从默认的“完整安全性”改为“中等安全性”或“无安全性”
- 外部启动：勾选“允许来自外部驱动器的启动”（若灰色不可选，说明安全启动级别太高，需先调低）
- 关闭窗口，点击“重新启动”生效
Apple 芯片 Mac：使用“启动安全性实用工具”选择安全策略
M 系列机型没有“安全启动”滑块，而是统一归为“安全策略”，且默认启用最高级别的“完整安全性”。如需兼容旧系统、内核扩展或自定义启动项，需手动降级：
- 关机后按住电源键，直到出现“正在载入启动选项”，点“选项”→“继续”
- 选择管理员账户并输入密码，进入恢复环境
- “实用工具” → “启动安全性实用工具” → 选择目标启动磁盘（如已加密，先点“解锁”）
- 点“安全策略”，可选：
- 完整安全性：只运行当前已知最新签名的 macOS，联网验证必要
-
降低安全性：允许运行 Apple 信任的任意旧版签名 macOS；勾选后还可额外开启：
- 允许用户管理来自被认可开发者的内核扩展
- 允许远程管理内核扩展和软件自动更新（适用于 MDM 管理场景）
- 宽松安全性：支持自定义 XNU 内核，但需先关闭 SIP（系统完整性保护）
- 点“好”，输入管理员用户名和密码确认，重启生效
设置后如何验证是否成功
无论哪种芯片，改完策略都建议立即验证：
- 重启时按住 Option 键，看外置 U 盘/硬盘是否显示带 macOS 图标的启动项
- 进系统后打开“系统设置 > 通用 > 启动磁盘”，确认外部设备出现在列表中，且状态为“可启动”
- T2 机型若仍提示“安全设置不允许使用外部启动磁盘”，说明“外部启动”未勾选或“安全启动”仍为“完整”
- Apple 芯片机型若无法识别自制启动盘，大概率是安全策略未设为“降低安全性”，或磁盘未用 APFS 格式 + GUID 分区方案
注意事项与常见误区
这些细节容易被忽略，但直接影响设置成败：
- T2 芯片 Mac 不支持网络启动，仅限本地外接存储设备
- Apple 芯片 Mac 默认允许外部启动，但不等于自动信任任意镜像——系统宗卷必须经 Apple 签名，否则即使策略设为“降低”，也会拒绝加载
- 更改安全策略后，部分功能（如 FileVault 解密、某些内核扩展加载）可能需要重新授权或重启多次才稳定
- 若 Mac 属于企业/学校托管设备（注册在 Apple 商务或校园教务管理），部分策略选项可能被远程锁定，需联系管理员解绑
