用 fdesetup 更换 FileVault 个人恢复密钥

fdesetup changerecovery -personal 可以在不解密磁盘的情况下生成新的个人恢复密钥并作废旧密钥。

macOS恢复fdesetup 磁盘加密FileVault 磁盘加密中风险

运行 `sudo fdesetup changerecovery -personal` 并立即保存新密钥——旧密钥随即失效。

01命令

命令

$ sudo fdesetup changerecovery -personal

个人恢复密钥是在所有已授权用户密码都不可用时解锁加密卷的最后手段，因此一旦它出现在截图、工单或表格里，就应立即轮换。命令会要求输入一个已启用 FileVault 用户的凭据，然后一次性输出新的 24 位密钥，之后不再显示——务必在关闭终端前保存。该操作不涉及重新加密，几秒钟即可完成。

风险中风险

使用条件sudo (admin account); an authorized FileVault user must authenticate

!注意: 新密钥只显示一次——丢失后只能依靠已启用用户的密码解锁磁盘。

✓无需撤销——该命令不会改变持久状态。

fdesetup(8) — macOS man page
Xcode Man Pages (mirror) · technical · 2026-09-17
依据: Documents `fdesetup changerecovery -personal` to replace the personal recovery key and related -key options.

最后验证: 2026-09-17 · 分类: 安全与隐私

在终端查看 NVRAM 中保存的 boot-args 等固件级启动设置。