操作系统做了什么

你打开一个应用、保存一份文档、插上一个硬盘。这些操作都不会直接触及硬件：有一个叫作操作系统的程序，介于你所做的每一个操作，和底层的芯片、内存与磁盘之间。理解它的四项主要工作，会让这门课程接下来的内容，以及你对 Mac 做出的各种选择，都更容易理解。

内核：掌管硬件

内核是操作系统的核心，是决定接下来该由哪个程序使用处理器、哪个应用可以读取哪一块内存，以及数据如何抵达磁盘的那一部分。Apple 的安全文档把系统安全描述为“负责在不影响可用性的前提下，控制对 Apple 设备系统资源的访问”，涵盖启动过程，以及“对 CPU、内存、磁盘、软件程序和存储数据等计算机系统资源的保护”。包括你打开的应用在内的其他所有程序，都要向内核请求这些资源，而不能直接触碰它们。

这种掌控在 macOS 完成加载之前就已经开始了。Apple 把这称为安全启动：一条从硬件本身就开始的检查链，其中“每一步的设计目的，都是在把控制权交出去之前，确保下一步能正常运作”。如果某个早期步骤不可信，后面的步骤就不会被允许运行。

进程：程序运行时的样子

进程就是一个程序正在执行时的状态：你的浏览器、你的邮件客户端、一个正在检查更新的后台服务。内核通过给每个进程分配一段处理器时间和一块私有内存区域，让几十个进程能够同时运行。本课程后面的内容会以此为基础：应用沙盒的存在，正是专门为了阻止一个进程闯入另一个进程的内存或文件。

文件：井然有序，并由权限把关

操作系统还会把存储组织成一套文件系统：文件夹、文件，以及关于谁被允许读取或更改每一项内容的元数据。正是这种把关机制，让两个人，或者两个应用，能够共用同一块磁盘，而不会自动看到彼此的数据。

用户：同一台机器上的不同身份

最后，操作系统会记录是谁在发出请求。在 Mac 上，每个登录的人都拥有一个账户，而账户又分为不同类型。Apple 的 Mac 用户指南解释说，管理员账户“可以添加和管理其他用户、安装应用、更改设置”，而标准账户是“由管理员设置的”，“可以安装应用并更改自己的设置，但不能添加其他用户，也不能更改其他用户的设置”。你日常使用的账户类型，决定了你本人，以及以你的身份运行的任何软件，被允许触碰什么。