macOS下以指定用户运行启动shell脚本的权限问题排查

1. 外部卷挂载时机不匹配 #

LaunchDaemon属于系统级启动项，会在系统启动早期、用户登录前就执行，此时你的USB外部卷大概率还未完成挂载。而手动su server运行服务是在用户登录后，卷已经正常挂载，因此不会出现权限问题。

解决办法：

• 在plist配置中添加WaitForPaths键，让launchd等待指定的USB卷挂载完成后再启动脚本：

<key>WaitForPaths</key>
<array>
  <string>/Volumes/myvolume</string>
</array>

• 或者改用LaunchAgent（将plist放在/Library/LaunchAgents或~/Library/LaunchAgents目录），它会在用户登录后启动，此时外部卷已完成挂载。

2. macOS隐私权限限制 #

Big Sur及以上版本的macOS对系统级进程的权限管控更严格，LaunchDaemon进程默认可能没有访问外部卷的权限。而手动运行时，进程继承了用户会话的权限，因此能正常访问。

解决办法：

• 给相关服务进程添加「完全磁盘访问」权限：
  1. 打开「系统设置」→「隐私与安全性」→「完全磁盘访问权限」
  2. 点击加号，分别添加/usr/local/bin/nginx、/usr/sbin/httpd以及你的Navidrome可执行文件
• 确认外部卷未设置为只读挂载，保证进程有读写权限。

3. 工作目录与环境变量缺失 #

手动su server后默认处于server用户的家目录，而LaunchDaemon的默认工作目录是根目录/，脚本中的~可能无法正确解析为server用户的家目录，同时可能缺少用户会话中的其他环境变量。

解决办法：

• 在shell脚本开头明确切换到server用户的家目录：

#!/bin/bash
cd /Users/server || exit 1

• 或者在plist中添加WorkingDirectory键指定工作目录：

<key>WorkingDirectory</key>
<string>/Users/server</string>

• 脚本中的命令尽量使用绝对路径（比如/usr/local/bin/nginx而非nginx），避免PATH解析偏差。

4. 外部卷权限的深层问题 #

即使执行了chown -R server，如果外部卷是FAT32/NTFS这类不支持Unix权限模型的格式，权限设置会失效；或者卷的ACL权限存在限制。

解决办法：

• 优先将外部卷格式化为APFS或HFS+，确保支持Unix权限体系
• 用ls -le /Volumes/myvolume/etc查看ACL权限，必要时调整：

chmod -R 755 /Volumes/myvolume/etc

• 如果是NTFS卷，使用ntfs-3g工具挂载，确保权限设置生效

内容的提问来源于stack exchange，提问作者Cirrocumulus