开了 FileVault 之后，Mac 启动时没法直接读取数据盘，所以必须留一条后路，这条后路就是 FileVault 恢复密钥。简单讲，万一系统启动部分出了问题，或者您忘了账户密码，能解开硬盘的只有它。没有它、也没有可用备份，里面的数据就真的找不回来了，请当宝贝收好。如果您还想确认 Mac 是否有不必要的公网入口，可以参考Mac 公网 IP 地址检查与远程访问风险指南。
顺带说明一下：这个密钥和“Apple 账户恢复密钥”是两回事，后者是用来找回在线账户的。如果您忘记的是 Mac 用户登录密码，而不是恢复密钥本身，可以参考Mac 登录密码重设步骤与恢复密钥说明。
什么时候会用到恢复密钥
正常情况下用不上。只有在登录界面输入 macOS 账户密码被拒、没法继续时，才需要它。这时您会看到“重置密码”字样，旁边有个向右的箭头；也可以直接点密码框右侧的问号按钮把它调出来，然后按提示用恢复密钥重置密码。
苹果管理恢复密钥的方式前后有两套。旧方式用了好几年；新方式从 Tahoe 开始提供，在 26.3 之前是可选的，到 26.4 以及下一代系统 Golden Gate 就变成强制了。如果您几年前就开了 FileVault，建议了解一下旧方式的区别，新方式安全得多。
怎么查看恢复密钥
Tahoe 在恢复密钥上改了三件事：
- 随时可看：密钥创建后可以随时查看，不再是“只显示一次”。
- 不再走 iCloud 托管：原来那种把密钥存进 iCloud 账户的简单托管取消了。
- 放进“密码”App：恢复密钥会存进“密码”。如果您开了 iCloud 密码同步，它会在您的设备之间用端到端加密同步，不是靠 Apple 账户直接取。
如果您升级到 Tahoe，或装了 26.1、26.2、26.3 之后一直没动过 FileVault，装 26.4 或更高版本、或从 26.4 之前的版本升到 Golden Gate 时，系统会引导您走一遍简单流程。原文作者的建议是：26.0 到 26.3 这几个版本，最好按下文步骤自己手动升级。
具体路径：打开“系统设置”>“隐私与安全性”>“FileVault”，点“显示”，用触控 ID 或密码验证后，就能看到完整密钥。也可以直接在“密码”App 里找。
另外，iOS 26 / iPadOS 26 刚发布的头几个版本里，密钥虽然同步到了 iPhone 和 iPad 的“密码”App，但只有“恢复密钥”这个标签和密钥本身，没有别的信息。后来苹果更新修复，各平台显示一致了。
即使密钥能通过 iCloud 同步，也有两种情况会踩坑：
- 只存在“密码”里：如果除了这台 Mac 您其他设备都没法用了，而这台 Mac 又用密码启动不了，您就拿不到密钥。后果这么严重，光存在“密码”里不够保险。
- 不用“密码”App：那就得用别的密码管理器，或者其他安全办法，保证 Mac 用不了时您仍能取到密钥。
怎么验证旧密钥还能不能用
如果您在 Tahoe 之前设置过本地保存的恢复密钥，可以用命令行工具检查手头这串密钥对不对，不用真去重置账户密码。打开“终端”，输入下面这条命令并按回车：
sudo fdesetup validaterecovery提示时先输入管理员密码，再粘贴或输入恢复密钥。结果是 true 就没问题；如果不是，先重新输入一次。一直是 false 或报错，就该重置 FileVault 了。
怎么重置恢复密钥
想关闭 FileVault、因为密钥泄露要换一把，或者想在 Tahoe 26.0 到 26.3 上换成新机制，可以这样做：
- 进入“系统设置”>“隐私与安全性”>“FileVault”，关闭 FileVault。
- 点“关闭加密”。
- 按提示用触控 ID 或输入密码。
- “解密”会花一点时间，实际上是在启动分区里做几处底层改动。如果您只是想关掉 FileVault，到这里就可以停了；想换新密钥就继续。
- 重新打开开关。如果离第 3 步已经过了一会儿，可能需要再验证一次触控 ID 或管理员密码。
- 屏幕上可能短暂出现“正在加密”，这是 macOS 在重写启动信息，不用您做任何事。
最后一招：通过 SSH 远程解锁
从 Tahoe 开始，如果 Mac 开了“远程登录”并且联着网，可以通过 SSH 输入恢复密钥来解锁。适合实在没法在 Mac 上直接打字、或者机器放在不好够的地方的情况。担心的话，可以提前把“远程登录”开着。
苹果为什么要改
Tahoe 之前，恢复密钥有两种选择：
- 本地保存：密钥生成后只显示一次，哪里都不存，之后再也看不到。
- iCloud 托管：密钥安全地存在您的 iCloud 账户里。
原文作者对 iCloud 托管不太喜欢，不过觉得它比“看一次就永远丢”的本地密钥没那么吓人。它有三个问题：
- 如果您丢了 iCloud 账户的访问权限，密钥就取不回来。（如果还能登录 Mac，可以先关 FileVault 再重开，生成一把新的本地密钥自己保管。）
- 如果别人拿到了您的 Apple 账户凭据，又碰得到您的 Mac，就可能走 FileVault 恢复流程把它解开。
- 理论上，政府机构不管合法与否，都可能迫使苹果为被扣押的设备交出这把密钥。就原作者所知，这种事没发生过，但也不排除苹果在某些国家被禁止披露；考虑到苹果在加密和隐私上的一贯立场，这种可能性不大。
苹果的系统和云安全团队大概也是出于这类考虑，才在 Tahoe 里重做了恢复密钥的存取方式。
小编建议：不管您用的是哪种方式，今天就花一分钟确认一下，密钥除了 Mac 之外，在别的地方也有一份能取到的备份。磁盘加密之外，也别忽略系统防护和文件备份；可以接着阅读Mac 恶意软件与勒索软件防护指南，了解 Time Machine 和离线备份的安排。升级到新系统前，您还可以查看这篇macOS 27 Golden Gate 实用设置指南，按清单检查系统设置和隐私选项。手机这边的防盗设置也别落下，可以看看 iPhone 失窃设备保护怎么开；Apple 账户的受信任设备、备用号码和恢复联系人，也可以按这份 账户访问权限准备清单逐项检查。