@xiebruce hi,

man spctl 手册里提到的 assessment subsystem 是 GateKeeper 和 syspolicyd, 前者负责检查签名是否存在及有效，后者抉择是否放行 app 的启动。比如你的 GateKeeper 设置是 App Store only, 那么运行从网络上下载的 app 就会被 syspolicyd 拒绝。

Notarization 就是你在帖子里提到的公证。

xattr -rd com.apple.quarantine 主要是为了跳过公证检查

当下载的文件有 com.apple.quarantine 属性时，就会触发 GateKeeper 和 Notarization 等检查；换句话说如果文件没有这个 flag 的话，系统就不会做如上检查。

@webshe11 谢谢！

...插入图片的正确姿势到底是怎样的？


https://imgur.com/N6dTQrK.png

试试打开这个？

https://imgur.com/N6dTQrK

@ItzhacLea *persist

@SoloCompany 问题在于 com.apple.macl 受到 SIP 的保护，而且是 presist 在 FS 里的。只要我能骗你一次用 NSOpenPanel 打开 $HOME，接下来都不会受到 TCC 的控制

@SoloCompany 话是这么说没错，不过有例外。只需要简单的一个 drag and drop，shell 就可以直接访问受保护的文件夹了。NSOpenPanel 也可以

Undocumented Catalina file access change: lapcatsoftware.com/articles/macl.html

@dioxide 是 F-Secure 的，目前还在 beta 测试中。https://beta.f-secure.com/welcome/

如果你的系统还是 Catalina，那么还有同类软件： https://www.oneperiodic.com/products/handsoff/

建议直接上 HIPS，目前跑了这么久，暂时没看到 QQ 会访问不属于自己的文件

https://i.imgur.com/r45hZyj.png

这是拿微信发送图片手动触发的，如果你怀疑小龙监控了你，那就监控回去：

https://i.imgur.com/TGGJ1Fz.png

@seaswalker 是的，在 Mac 上 App 还可以使用 UNIX 命令，调用个 shell 也不是难事。我看了下 ~/Library/Application\ Support/ 是没有受到系统保护的，拿一个没有 full disk access 的终端就可以测出来：

~  ls ~/Library/Application\ Support/Google
FIRApp

但是 Safari 文件夹反倒是受到保护的，毕竟是自家产品：

~  ls ~/Library/Safari
ls: Safari: Operation not permitted

@murmur 商店版本的柠檬清理也 [不一定] 安全，没记错的话打开程序时会用 NSOpenPanel 弹框让你选择 Home folder 。Catalina 及之后的文件系统有一个扩展属性叫 com.apple.macl，可以用 ls -l@ 观察到，这个扩展属性储存了一个列表，列表上的程序访问受保护文件夹时 [不会] 弹框要求用户的许可。

而 NSOpenPanel，drag and drop，用户双击文件，都会添加这个扩展属性到文件上，以防止过多的隐私保护弹窗打扰用户。

ref:

Reset access obtained through inferred user intent on Catalina: https://developer.apple.com/forums/thread/124121

Undocumented Catalina file access change: https://lapcatsoftware.com/articles/macl.html

syncdefaultsd=$(ps aux | grep -w syncdefaultsd | grep -v "grep" | wc -l | sed 's/[[:space:]]//g')
if [[ "$syncdefaultsd" != "0" ]]; then
killall syncdefaultsd
fi

保存为 sh，写个 plist 用 launchctl 调用，plist 里可以用 StartInterval 指定运行间隔

Catalina 下可以替换掉 "/System/Library/Desktop Pictures/Catalina.heic", 然后 "diskutil ap updatepreboot /" 来达成自定义登陆界面的效果。

Big Sur 也一样，只不过由于还使用了 SSV，理论上得先关掉 FileVault & SSV，按照如上步骤替换掉 Big Sur.heic，创建新的启动快照......太麻烦了所以我没尝试过，经供参考。

根據觀察，只要系統語言非英語，就有可能遇到這個 bug 。所以 workaround 很簡單，把 recovery 的語言改成英語就好了：

sudo nvram prev-lang:kbd="en-US:0"

tccutil reset All 'Bundle ID'

把 Bundle ID 換成自己的應用

这个问题我也遇到过，只有当 AirDrop 设置为 “Contacts only” 时才会出现。具体表现是 sharingd 占用接近 200% 的 CPU 并且 Finder 无响应，可以在 15 款和 18 款的 rMBP 上复现。

10.15.3 时我是这么规避这个问题的：将 AirDrop 设置为“所有人”；或者提前打开 Finder 的 AirDrop 页面再传文件。

升级到 10.15.4 后貌似有所好转，但我已经学会尽可能不用 AirDrop 了（