macOS下未被Finder访问目录生成.DS_Store的原因及排查问询

可触发.DS_Store创建的macOS相关接口 #

.DS_Store的生成逻辑从macOS 12 Monterey开始确实不再只绑定Finder行为，系统层有多个路径会触发生成：

• 核心触发逻辑在系统私有框架DesktopServicesPriv中，只要任何进程调用目录元数据读写接口（包括公开的FSCatalogInfo系列接口、NSURL的目录资源属性读写接口）修改/查询目录的视图类属性（比如文件夹排序方式、图标位置、标签、Spotlight关联展示配置），系统就会自动在对应目录生成或更新.DS_Store作为缓存，这个写入动作是系统完成的，不是调用进程主动创建的文件。
• 12.x版本之后，系统自带的Time Machine备份进程backupd、iCloud同步进程bird、File Provider扩展模块在做增量扫描、快照标记时，会批量读取目录的全量元数据，这个过程会频繁触发上述.DS_Store生成逻辑，哪怕对应目录从来没被Finder打开过。你猜测的备份类程序触发是完全成立的，第三方备份、同步工具如果调用系统元数据接口时请求了目录视图相关属性字段，一样会触发创建。
• 沙盒外的应用调用NSWorkspace的目录视图相关接口获取文件夹展示样式时，也存在间接触发.DS_Store生成的可能。

定位创建.DS_Store进程的具体方法 #

全部用系统自带工具即可，不需要安装第三方软件：

1. 实时监控法（最直接）：用系统自带的文件系统使用追踪工具fs_usage，直接抓.DS_Store相关的文件创建事件，执行命令：

   sudo fs_usage -w -f filesys | grep .DS_Store
   

   保持终端窗口运行，复现你删除构建目录后.DS_Store重新生成的场景，输出结果中CREATE操作对应的进程名、PID列，就是实际触发文件创建的进程。注意该命令需要root权限，建议先cd到你要监控的项目根目录再执行，减少无关输出。
2. 审计日志法（适合偶现场景抓不到实时事件的情况）：用系统自带的审计框架提前给监控目录加写入规则：

   sudo auditctl -a exit,always -w /你的构建目录绝对路径 -p w -k dsstore_track
   

   等问题复现后，拉取审计日志过滤相关记录，就能拿到发起写入操作的进程全路径、PID、执行用户信息：

   sudo praudit /dev/auditpipe | grep -B 2 -A 10 .DS_Store
   

   测试完成后记得删除审计规则，避免持续写入日志占用空间：

   sudo auditctl -d exit,always -w /你的构建目录绝对路径 -p w -k dsstore_track
   

补充说明：你测试时批量删除.DS_Store后立刻查找还能看到新生成的文件，本质是12.x版本之后系统元数据缓存逻辑变激进，fseventsd在捕获到目录删除、变更事件时，关联的系统守护进程会立刻扫描目录元数据，刚好在rmdir系统调用执行前写入了.DS_Store，导致目录非空删除失败，不是系统异常。

内容的提问来源于stack exchange，提问作者Alan Snyder