**1. 干什么** App Sandbox 按 entitlements 策略把进程限制在容器目录与允许动作集内，由 sandboxd 协助、AppleSandbox 在内核层强制，越界动作被直接拦截。 **2. 谁在调** * 用户态主体：App Store 应用、sandboxd 守护进程。 * 系统层封装：entitlements 策略、sandbox-exec。 * 内核态主体：AppleSandbox 规则强制。 **3. 做什么业务** 沙盒内应用写入自身 container 目录默认放行，写容器外、外联网络、访问摄像头均须逐条取得 entitlements 许可。沙盒比 TCC 约束更粗：TCC 决定隐私资源是否询问授权，沙盒决定进程根本被禁止接触哪些系统资源。 **4. 组件清单** * entitlements 白名单策略 * container 容器目录 * sandboxd 与 AppleSandbox * 网络与文件访问限制 **5. 最小可运行** ``` # 查看应用容器并测试最小沙盒命令 ls -la ~/Libr