兄弟们帮大忙，关于苹果那个坑爹的 sip

[Fanechka]

• 最近公司换微服务架构，用阿里的 spring-cloud-alibaba，需要用 nacos 发布接口，然后，最坑爹的是，nacos 里要读取 /private/var/下面的一些文件，mac 不让读，用 root 账户还改不了权限。

• 百度了一下，原来是 sip 的原因。

• 然后我就重启，进 recovery 模式，csrutil disable 。终于 nacos 跑起来了。

but ！

• 几乎所有的从 app store 下载的 app 打不开了= =

• 所以想问一下大家，怎么才能不用重启就能修改 sip 的状态。

• 或者迂回一下，怎样让 app 绕过 sip 验证直接运行，或者开启 sip 但不锁定文件系统权限。

[Mitt]

用 docker，不侵入自己的实体环境是最好的，否则一堆坑，还留下一堆难以清理的垃圾

[DarkCat123]

synthetic.conf + chroot 有办法么？

[BrettD]

别关 SIP

[Fanechka]

@Mitt docker 适配 M1 了吗？

[Mitt]

@Fanechka #4 一直都适配的，是 image 没适配而已，要么自己适配一下，要么就 qemu 模式运行，默认是以 qemu 运行的，性能差点但是也还能用

[Fanechka]

@Mitt 支持了！居然！这几个月没关注，竟然已经适配了，那就没有问题了😂

[Fanechka]

@BrettD 没办法啊，sip 控制欲过于足了

[S1ahs3r]

一个框架不支持路径配置才是问题吧. 提 issue 让他们改

[bk201]

为什么不换个思路，改 nacos

[Hurriance]

有跑过一些项目都是直接在根目录下创建、读取文件，放到 mac 上跑就不行，很无语，写的人没区分开根目录 和 用户目录

[c7in7]

别提了，我就想加个动态壁纸都因为 sip 搞了重装系统，2 次……

[Fanechka]

刚发现了一个新命令：csrutil enable --without fs，可以打开 sip 但是不限制文件系统权限，等我下班了回去试一下

[BrettD]

@Fanechka 一个项目需要读写你自己私人电脑的敏感路径就有问题，用 Docker 或者虚拟机吧

[napsterwu]

这个明显是阿里的问题，扪心自问什么功能需要读写 /private 路径？

[ch940621]

这锅苹果不接

[Fanechka]

大家不要改 sip 状态了，我被坑了。
我修改了 sip 状态，将 sip 开启但是 without fs，使得管理员可以修改根目录权限。
然后修改了 /private 权限。
再打开 app store 下载的 app，提示安全策略宽松，不让打开。于是我又进入 recovery 将安全策略调为“降低安全性”，重启。
开机后
我的 mac
就崩了
finder 永远无响应，性能监视器打开卡死，随便点什么都是小彩虹，终端用不了。
最后，在苹果工作人员的帮助下（其实什么也没帮，他搁那叨叨，我受不了了直接重装了系统），终于解决了。
再也不敢动 sip 了。

[Fanechka]

再附：
关于 docker 里面部署 nacos，一定不要下载官方的，我特喵的整了一下午，一直报错。人快崩溃了才发现，docker search 的结果里面倒数第 3 个就是有人专门为 Apple M1 适配的，淦。

[Fanechka]

@napsterwu 一个 jnilib 文件，我一直把 nacos 当作一个工具用，没看源码，我也不太清楚做什么用。

[Fanechka]

@BrettD 已部署 docker👌