macOS 诊断 macOS 系统沙盒化环境配置冲突的方法

诊断 macOS 沙盒配置冲突需分层验证：先观察“Operation not permitted”等拦截现象，再用tccutil检查TCC授权状态，接着通过ps和codesign确认进程是否真在沙盒中运行，最后核对Info.plist与签名entitlements一致性。

诊断 macOS 系统沙盒化环境配置冲突，关键不是看报错文字，而是确认权限请求是否被系统拦截、授权是否真正生效、以及进程是否在预期沙盒上下文中运行。核心思路是分层验证：先看行为现象，再查策略状态，最后验执行环境。

观察典型沙盒拦截现象

沙盒冲突不会直接说“你在沙盒里”，而是表现为特定行为受限：

• 尝试读写 ~/Documents、~/Desktop、外接磁盘或 iCloud Drive 文件夹时弹出“Operation not permitted”，且 chmod 或 chown 无效
• 调用 NSOpenPanel 选中文件夹后仍无法持续访问，或重启应用后权限丢失
• 辅助功能（Accessibility）开关打开后，自动化操作仍无响应；或开关自动变灰、无法勾选
• 终端执行 ls -lOe /path/to/dir 显示 restricted 或 com.apple.quarantine 属性

检查 TCC 授权数据库状态

沙盒相关权限由 TCC（Transparency, Consent, and Control）数据库统一管理，状态错乱是常见根源：

• 终端运行：tccutil list | grep -i "yourappname|openclaw"，确认对应服务（如 kTCCServiceAccessibility、kTCCServiceSystemPolicyAllFiles）是否为 allowed
• 若条目缺失、显示 denied 或反复重置，说明授权未持久化或被覆盖
• 执行 tccutil reset All（需管理员密码）可清空全部授权记录，重启后重新触发请求——这是验证是否为数据库脏数据的最有效手段

验证进程实际运行环境

即使 App 已签名并声明了权限，也可能因启动方式绕过沙盒，或被父进程污染：

• 终端执行：ps -E -o pid,comm,environment | grep -A5 -B5 "YourApp"，检查是否含 APP_SANDBOX_CONTAINER_ID 环境变量
• 运行：codesign -d --entitlements :- /Applications/YourApp.app，确认输出中包含 com.apple.security.app-sandbox 且值为 true
• 若通过脚本、launchd 或终端直接启动二进制（非 .app bundle），默认不启用沙盒——必须打包为合法 bundle 并正确签名

排查 Info.plist 与签名一致性

沙盒权限声明和实际签名 entitlements 必须严格匹配，否则系统拒绝加载：

• 打开 YourApp.app/Contents/Info.plist，确认存在键 com.apple.security.app-sandbox（值 true），以及所需能力如 com.apple.security.files.user-selected.read-write
• 对比 codesign -d --entitlements :- YourApp.app 输出，确保 plist 中声明的每一项都在 entitlements 中体现
• 修改 Info.plist 后必须重新签名：codesign --force --deep --sign - YourApp.app，否则更改无效