MacOS中launchd调用Users目录脚本的权限问题咨询

核心问题：launchd 守护进程（Daemon）与代理进程（Agent）的身份差异 #

你用的是launchd守护进程（配置在/Library/LaunchDaemons/），它默认以root用户运行，但root访问用户私有目录时，依然受文件系统权限和系统隐私机制约束：

• 用户目录（比如/Users/<user_name>）默认权限是drwxr-xr-x，Desktop这类目录权限更严格（可能是drwx------，只有所有者能访问）。
• 就算root有权限强行读取，脚本访问DerivedData这类用户私有开发目录时，会触发系统的TCC隐私保护框架，直接拒绝root的访问请求——这不是单纯的文件权限问题，是系统的隐私限制。

而你之前把脚本放在/usr/local/bin（wheel组）能正常运行，是因为这个目录是系统级可执行目录，权限开放给root和wheel组，且不涉及用户隐私目录的访问。

要不要额外给脚本加CRUD权限？ #

不需要。脚本本身只要有执行权限（chmod +x）就够了，你之前能运行说明执行权限没问题。修改用户目录下的文件权限反而会破坏系统的权限安全模型，完全没必要。

正确解决方案 #

1. 改用Launch Agent（最推荐） #

把你的launchd配置文件移到~/Library/LaunchAgents/目录下，这样脚本会以当前普通用户身份运行：

• 和你手动执行脚本的身份完全一致，访问用户私有目录（包括DerivedData）时权限完全匹配，不会触发隐私限制。
• 配置文件里不需要设置UserName字段，默认就是当前登录用户。

2. 若必须用Launch Daemon（不推荐） #

如果一定要用root身份运行的守护进程，得做以下操作：

• 在脚本里显式切换到普通用户执行核心操作，比如：

  su <your-user-name> -c "监控DerivedData目录的命令"
  

• 脚本里所有路径都用绝对路径，比如不要写./DerivedData，要写/Users/<your-user-name>/Library/Developer/Xcode/DerivedData
• 手动给root添加TCC权限：打开「系统偏好设置→安全性与隐私→隐私」，找到对应的权限项（比如「文件和文件夹」），添加root身份的访问权限（操作比较繁琐，不建议）。

3. 检查脚本基础设置 #

确保脚本本身有执行权限：

chmod +x /Users/<your-user-name>/Desktop/greetings.sh

总结 #

问题根源是launchd运行身份和用户目录的权限/隐私限制不匹配，根本不需要给脚本额外加CRUD权限。改用Launch Agent是最简单、最安全的解决办法。

内容的提问来源于stack exchange，提问作者G.Abhisek