苹果应用沙盒是开发者在Xcode中配置并签名的强制机制，普通用户无法手动开启；安装后沙盒自动启用，访问受限文件需通过系统授权弹窗完成，而非开关操作。
苹果电脑上开启应用沙盒权限不是用户在系统设置里手动“打开”的操作，而是开发者在Xcode中完成签名配置并提交到Mac App Store前的强制步骤；普通用户安装已上架的App时，沙盒已随应用自动启用，无需也不可干预。
确认你的角色：是开发者还是普通用户
如果你正在打包自己的macOS应用并计划上架Mac App Store，必须启用沙盒——这是苹果硬性要求。如果你只是下载安装了一个App却发现它无法读写Documents或桌面文件，这不是“沙盒没开启”，而是该App本就该走授权流程访问外部路径，你需配合弹窗授权，而非去开启沙盒本身。
沙盒不是开关，是运行时环境；它不显示在“系统设置→隐私与安全性”中，也没有叫“沙盒权限”的独立条目。
开发者：在Xcode中正确启用沙盒
第一步：打开Xcode项目 → 选择主Target → 点击“Signing & Capabilities”标签页。
第二步：点击左上角“+ Capability”按钮 → 在搜索框输入“App Sandbox” → 双击添加。
第三步：Xcode会自动生成.entitlements文件，并写入<key>com.apple.security.app-sandbox</key><true></true>。这一步【必须用Apple Developer ID证书签名】，否则应用启动时直接崩溃，报错“App is not signed with a valid certificate”。
第四步：根据应用实际需求，在Capabilities页面勾选对应子项，例如“User Selected File Access”（对应entitlements中的com.apple.security.files.user-selected.read-write），不勾选则即使用户点了授权弹窗，代码调用仍会失败。
用户侧：遇到沙盒限制时该做什么
方法一：当App弹出“想访问你的‘文稿’文件夹”提示时，直接点“好”。这次授权仅对本次选中路径有效，且由NSOpenPanel触发，不是你“开启沙盒”，而是你赋予它一次访问许可。
方法二：若App需要长期访问某文件夹（比如同步目录），它应引导你通过打开面板重新选择，并内部保存安全书签（bookmark data）——你不需要做任何事，只需配合点击和选择。
【注意】不要尝试在终端执行tccutil reset或修改TCC数据库来“绕过沙盒”】——这不仅无效，还会导致系统拒绝该App后续所有隐私弹窗，连麦克风、摄像头授权都可能失效。
验证沙盒是否生效
打开终端，执行：ls -lO ~/Library/Containers/，能看到以你的App Bundle ID命名的文件夹，里面包含Data子目录——这就是沙盒容器，说明沙盒已在运行。
如果运行时出现“Operation not permitted”错误，且路径指向~/Documents或/Applications，那就是沙盒正常拦截了非法访问，不是故障，是保护生效。
