文章目录
 
一、权限说明
二、`文件和文件夹` 权限
1、需要授权的目录
2、授权动作
3、不需要授权的目录
   
三、完全磁盘访问权限
1、手动增删
2、和 文件和文件夹 权限相关
3、SIP 下 无法用命令 完全磁盘访问 权限
4、完全磁盘访问权限 的授权判断
  
 

 
 
一、权限说明
 
关于这两个权限，没有看到 Apple 给开发者的具体建议。
 根据：https://support.apple.com/zh-cn/guide/mac-help/mh32356/mac，对于用户而言，这两个权限是
 
完全磁盘访问权限 ： 显示可以访问电脑上所有文件的 App，包括其他 App（例如“邮件”、“信息”、Safari 浏览器和“家庭”）中的数据、时间机器备份中的数据以及此 Mac 上所有用户的部分管理设置。
 
文件和文件夹 ：显示可以访问此 Mac 上不同位置的文件和文件夹的 App。如果您想要阻止其访问文件和文件夹，请取消选择该 App。
 
 
相关 url 跳转:
 
/*
    Privacy_AllFiles 完全磁盘访问权限
    Privacy_Assistive 文件和文件夹
*/
NSString *urlString = @"x-apple.systempreferences:com.apple.preference.security?Privacy_Assistive";
    [[NSWorkspace sharedWorkspace] openURL:[NSURL URLWithString:urlString]];
 
 
二、文件和文件夹 权限
 
1、需要授权的目录
 
参考自：https://nektony.com/duplicate-finder-free/folders-permission
 
 
 
文件和文件夹 权限，主要针对下面几个文件夹（有其他文件夹希望告知）：
 
Desttop Folder 桌面文件夹， ~/Desktop
Documents Folder "文稿"文件夹， ~/Documents
Downloads Foder 下载文件夹， ~/Downloads
Removable Volumes 可移除的宗卷（如 U 盘）, 如 /Volumes/SSWD
Network Volumes 服务器卷宗
 
 
2、授权动作
 
在SIP 开启状态下，应用访问上述文件夹时，将会弹出窗口提示用户授权：
 
 
授权结果将会显示在 系统偏好设置 --> 安全性与隐私 --> 隐私 --> 文件和文件夹 中。
 
 
3、不需要授权的目录
 
由于不明确具体哪些目录需要授权，所以测试了以下目录，他们均不需要 文件和文件夹 或 完全磁盘访问权限
 
/Applications
~
~/Library
~/Library/Containers
~/Library/WebKit
~/Library/QuickTime 可以读到数据
~/Pictures
~/Music
~/Library/Mobile Documents
~/Library/Mobile\ Documents/com\~apple\~ScriptEditor2/Documents
 
 
三、完全磁盘访问权限
 
1、手动增删
 
可以在偏好设置面板中，手动添加和删除应用。
 
点击添加，会打开文件夹，来选择。
 
 
 
2、和 文件和文件夹 权限相关
 
拥有完全磁盘访问权限，在文件和文件夹 中，也会显示出来。
 
已经授权，完全磁盘访问权限，则访问 桌面等，不会再继续要求授权。
 
 
 
3、SIP 下 无法用命令 完全磁盘访问 权限
 
1）tccutil reset all com.ms.VideoEditDemo
 
 
2）
 
$ tccutil reset AllFiles
tccutil: Failed to reset database

$ tccutil reset Assistive
tccutil: Failed to reset database
 
以上命令均无法像 移除麦克风权限一样移除 完全磁盘访问权限 和 文件夹权限。手动移除是最好的方式。
 
非 SIP 待测试。
 
 
4、完全磁盘访问权限 的授权判断
 
provided by @HsiangHo
 
typedef NS_ENUM(NSUInteger, FDAAuthorizationStatus) {
    FDAAuthorizationStatusNotDetermined = 0,
    FDAAuthorizationStatusDenied,  
    FDAAuthorizationStatusAuthorized
} NS_SWIFT_NAME(AuthorizationStatus);

NS_ASSUME_NONNULL_BEGIN

@interface FullDiskAccessAuthorizer : NSObject

+ (instancetype)sharedInstance;
- (FDAAuthorizationStatus)authorizationStatus;
- (void)requestAuthorization;

@end

 

#import "FullDiskAccessAuthorizer.h"
#import <pwd.h>
#import <Cocoa/Cocoa.h>

static FullDiskAccessAuthorizer *instance;
@implementation FullDiskAccessAuthorizer

+ (instancetype)sharedInstance {
    @synchronized (self) {
        if(nil == instance) {
            instance = [[FullDiskAccessAuthorizer alloc] init];
        }
        return instance;
    }
}

- (FDAAuthorizationStatus)authorizationStatus {
    
    NSString *userHomePath = NSHomeDirectory();
    
    BOOL isSandboxed = (nil != NSProcessInfo.processInfo.environment[@"APP_SANDBOX_CONTAINER_ID"]);
    
    NSLog(@"isSandboxed : %d",isSandboxed);
    
    if (isSandboxed)
    {
        struct passwd *pw = getpwuid(getuid());
        assert(pw);
        userHomePath = [NSString stringWithUTF8String:pw->pw_dir];
    }

    NSString *path = [userHomePath stringByAppendingPathComponent:@"Library/Safari"];
    
    NSLog(@"userHomePath : %@, path : %@",userHomePath,path);
    
    BOOL fileExists = [[NSFileManager defaultManager] fileExistsAtPath:path];
    NSArray<NSString *> *paths = [[NSFileManager defaultManager] contentsOfDirectoryAtPath:path error:nil];
    
    NSLog(@"paths : %@",paths);
    
    if (paths == nil && fileExists){
        return FDAAuthorizationStatusDenied;
    } else if (fileExists) {
        return FDAAuthorizationStatusAuthorized;
    } else {
        return FDAAuthorizationStatusNotDetermined;
    }
}

- (void)requestAuthorization {
    if (@available(macOS 10.14, *)){
        [[NSWorkspace sharedWorkspace] openURL:[NSURL URLWithString:@"x-apple.systempreferences:com.apple.preference.security?Privacy_AllFiles"]];
    }
}

@end
 
 
伊织 2020-02-10（一）愿患者早日康复

Mac OS 10.14之后，需要获取完全磁盘访问权限，才能访问Mail,Messages,Safari,Home，Time Machine backups等等为所有用户准备的工具区域。
 
 获取完全磁盘访问权限需要自己进行获取。即没有像相册权限那种方便的获取方法回调，需要跳转到隐私页，手动点上，然后通过检测是否已经获取权限来更新状态。
 
PermissionKit中方便的封装了相册，磁盘完全访问，日历，联系人的权限获取方法。当然还有不足，包括提醒，屏幕录制，辅助功能等等。
 
https://github.com/MacPaw/PermissionsKit.git
 
跳转隐私页方法
 
与 MacOS10.14之后的屏幕录制权限获取 一样，需要跳转隐私页进行手动获取
 [[NSWorkspace sharedWorkspace] openURL:[NSURL URLWithString:@"x-apple.systempreferences:com.apple.preference.security?Privacy_AllFiles"]];
 
关于状态的检测，可以在app进入前后台，或者轮询检测
 
隐私权限判断
 
PermissionsKit can be used in sandboxed applications. But this application should have access to the file Library/Safari/Bookmarks.pliston macOS 10.14 and Library/Safari/CloudTabs.db on macOS 10.15. You can do it using Security-Scoped Bookmarks flow, more details in apple documentation Or for testing purposes you can add temporary-exception to your .entitlements file.
 
在macOS 10.14中，访问Library/Safari/Bookmarks.pliston来判断
 在macOS 10.15中，访问Library/Safari/CloudTabs.db来判断
 
在沙盒app中，需要设置额外允许的访问路径如下:
 
<key>com.apple.security.temporary-exception.files.home-relative-path.read-only</key>
<array>
	<string>Library/Safari/Bookmarks.plist</string>
	<string>Library/Safari/CloudTabs.db</string>
</array>
 
见 https://github.com/MacPaw/PermissionsKit.git

 
 
出于安全方面考虑，我们有时候需要复杂的文件共享策略，可以在“本地磁盘C属性”中的“安全”选项卡设置访问权限。
如图1：
 

（图1）
 
有的朋友会发现，通常Windows XP中的磁盘，文件夹，文件属性对话框中是没有这个“安全”选项卡的，这时我们可以
按这个操作步骤调出“安全”选项卡：资源管理器主菜单->工具->文件夹选项->查看，如图2：
 
 
（图2）
 
勾去“使用简单文件共享（推荐）”复选框，点击“应用”按钮就可以在属性对话框中看到“安全”选项卡了。
 
 
 
 

用cacls命令设置磁盘，文件夹，文件访问权限
 
除了通过文件夹选项调出安全选项卡设置磁盘，文件夹，文件访问权限外，还可以用一个叫cacls的工具来完成权限的设置。
我们可以输入：cacls "System Volume Information" /g everyone:f回车。注意：""一定要是英文的，注意不要在开启中文输入法时输入""，
以后看到名字中带空格的文件或文件夹都要加上""。
如图1：
 
 
（图1）
 
输入：y回车。就将everyone用户组的权限设置为完全控制。
 
以下是cacls的使用说明，可以输入：cacls /?回车调出：
 
C:/>cacls /?
显示或者修改文件的访问控制表(ACL)
 
CACLS filename [/T] [/E] [/C] [/G user:perm] [/R user [...]]
               [/P user:perm [...]] [/D user [...]]
   filename      显示 ACL。
   /T            更改当前目录及其所有子目录中
                 指定文件的 ACL。
   /E            编辑 ACL 而不替换。
   /C            在出现拒绝访问错误时继续。
   /G user:perm  赋予指定用户访问权限。
                 Perm 可以是: R  读取
                              W  写入
                              C  更改(写入)
                              F  完全控制
   /R user       撤销指定用户的访问权限(仅在与 /E 一起使用时合法)。
   /P user:perm  替换指定用户的访问权限。
                 Perm 可以是: N  无
                              R  读取
                              W  写入
                              C  更改(写入)
                              F  完全控制
   /D user       拒绝指定用户的访问。
在命令中可以使用通配符指定多个文件。
也可以在命令中指定多个用户。
 
缩写:
   CI - 容器继承。
        ACE 会由目录继承。
   OI - 对象继承。
        ACE 会由文件继承。
   IO - 只继承。
        ACE 不适用于当前文件/目录。