1.csrutil命令
简单来说 是苹果在新系统后加入的一个安全机制。
Rootless讨论的前提是假定root账户是OS X（或者其他Unix系统）中对抗恶意程序保护操作系统的最后一道防线。意思是一个应用程序一旦获得了root账户权限，将会获得系统的无限的权限。就可以进行实时修改、修改磁盘、替换任何系统文件等。
使用状态：csrutil enable [--without kext | fs | debug | dtrace | nvram] [--no-internal]
禁用的时候就相当于所有参数开关全部关闭：
csrutil disable
（等同于csrutil enable --without kext --without fs --without debug --without dtrace --without nvram）
其中各个开关，意义如下：
B0: [kext] 允许加载不受信任的kext（与已被废除的kext-dev-mode=1等效）
B1: [fs] 解锁文件系统限制
B2: [debug] 允许task_for_pid()调用
B3: [n/a] 允许内核调试 （官方的csrutil工具无法设置此位）
B4: [internal] Apple内部保留位（csrutil默认会设置此位，实际不会起作用。设置与否均可）
B5: [dtrace] 解锁dtrace限制
B6: [nvram] 解锁NVRAM限制
B7: [n/a] 允许设备配置（新增，具体作用暂时未确定
cmd窗口提示：
p.p1 { margin: 0.0px 0.0px 0.0px 0.0px; font: 13.0px Menlo; color: #000000; background-color: #ffffff }
p.p2 { margin: 0.0px 0.0px 0.0px 0.0px; font: 13.0px Menlo; color: #000000; background-color: #ffffff; min-height: 15.0px }
span.s1 { }
clear
Clear the existing configuration. Only available in Recovery OS.
disable
Disable the protection on the machine. Only available in Recovery OS.
enable
Enable the protection on the machine. Only available in Recovery OS.
status
Display the current configuration.
netboot
add <address>
Insert a new IPv4 address in the list of allowed NetBoot sources.
list
Print the list of allowed NetBoot sources.
remove <address>
Remove an IPv4 address from the list of allowed NetBoot sources.
2.