运维同学常在安静的安全补丁后把锅甩给「OpenClaw 坏了」，而真正的问题往往是透明同意与控制（TCC）悄悄收回了你上个月搬过路径的网关二进制的屏幕录制或辅助功能。本 playbook 把症状映射到权限面，给出两张决策矩阵（先开哪个面板、何时优先 VNC 而非 SSH），七条与 JSON-LD 对齐的 HowTo 步骤，以及可贴进事故单的 FAQ；并链到 doctor 与完整安装指南。把「批准了哪个二进制」写进 Git，比事后猜路径可靠得多。
症状与 TCC 桶对应
- 截图或流式 UI 的工具调用瞬间失败，日志含权利错误 → 屏幕录制。
- AppleScript 或 AX 自动化返回空树，网关进程仍存活 → 辅助功能。
- 系统升级后某些 Library 路径读取突然拒绝 → 给精确辅助二进制完全磁盘访问，而非仅启动它的 shell。
建议为每类症状维护「首屏截图」模板：事故单里直接贴系统设置列表与二进制全路径，减少二次沟通。对多区域机群，把 macOS 构建号与网关版本号并排记录，避免「香港机坏了日本没事」这类无法复现的叙述掩盖真实差异。
矩阵 A — 应先打开哪个设置面板
| 主信号 | 第一面板 | 第二面板 | 应收集证据 |
|---|---|---|---|
| 像素缓冲 API 失败 | 屏幕录制 | 文件与文件夹 | 控制台过滤近一小时 tccd 拒绝 |
| AXUIElementCopyAttributeValues 错误 | 辅助功能 | 自动化 | 采样 3 条失败 AX 查询并带时间戳 |
| 受保护路径 EPERM | 完全磁盘访问 | 本地网络 | 精确 POSIX 被拒路径，勿用脱敏摘要 |
矩阵 B — 修复通道与风险
| 通道 | 可点 TCC 弹窗 | 利于审计 | 何时优先 |
|---|---|---|---|
| 仅 SSH | ✗ | ✓ | 弹窗已清除后的日志跟踪与 plist 编辑 |
| VNC 图形会话 | ✓ | ✓ | 升级后首次恢复；参见 VNC 指南 |
| MDM 声明的 PPPC 负载 | 不适用 | 最佳 | 企业整机队；金丝雀仍应用 doctor 验证 |
展开七步 HowTo 的运维细节
第一步应先跑 doctor 诊断，避免盲改设置。第二步务必读出系统列表里的精确二进制名：Homebrew 升级常搬二进制，而 LaunchAgent 仍指向旧路径，导致 TCC 开关看似开着却不生效。
第三步是乏味的开关舞：删陈旧条目、交互式启动新二进制一次、再授权，然后把 plist 路径锁进 Git。第四步在升级后首次恢复时不可省——SSH 点不了「打开系统设置」表单。第五步重跑 doctor，把 JSON 输出与 macOS 构建号一并归档给审计。
第六步优先 launchctl bootout 再 bootstrap，少用 kill -9，以免 TCC 状态与 Mach 服务不一致。第七步调用先前失败的无害工具：不要只用聊天延迟判断，因为聊天成功时工具管线仍可能被挡。
首次安装请对照 macOS 完整安装与部署，避免批准错误的辅助二进制。对多网关拓扑，在 runbook 里画清「哪个 LaunchAgent 拉起哪个 Node 二进制」，否则容易出现「CLI 已授权、Agent 未授权」的分裂。
若你在 NodeMac 独占机上使用自定义前缀安装，请在内部 wiki 写明「批准路径」与「实际运行路径」对照表；新人 onboarding 时做一次 VNC 录屏存档，能显著降低周末值班的电话量。把 TCC 变更与发布列车绑定，而不是与「某人记得点一下」绑定。
为何「昨天还行」几乎总是路径不一致
macOS 将 TCC 授权绑定到 inode 与 Team ID 等，而非营销名。brew 升级搬动通用二进制后，旧开关可能仍显示勾选，而运行中的进程其实是另一个从未获批的文件。所以要关掉再开：强制设置 UI 绑定到你刚从 /opt/homebrew 或 NodeMac 自定义前缀启动的现路径。
同时记录网关可执行文件与任何执行特权读取的辅助进程。团队常批准 CLI 包装器，而 LaunchAgent 使用仍缺辅助功能的嵌套 Node——doctor 可能仍绿，因为它探测的路径与生产流量不同。
量化护栏（常被遗忘）
- 重批 SLA：任何 macOS 安全响应发布后 24 小时内完成 TCC 冒烟。
- 证据包：每张事故单至少附 2 段控制台摘录与一份 doctor JSON。
- 金丝雀机：每区域保留 1 台 staging Mac mini，提前二十四小时接补丁。
提示：记录网关构建与代码签名 Team ID 的映射，避免安全评审把开发者签名的夜间构建与发布签名生产二进制混淆。
FAQ
重置隐私项会弄坏其他应用吗？
只影响你删除的条目。若合规要求可回滚，按类别渐进操作并在变更前拍照设置。
NodeMac 区域会改变 TCC 行为吗？
不会——港、日、韩、新、美主机跑同一 macOS 构建；差异主要在延迟影响你用 VNC 点提示的速度，以及服务看门狗是否抢先重启。
新手应先读哪里？
先看 帮助中心 的 SSH 基础，再在首次升级周末回到本页。
落地清单（可贴进 wiki）
把下列检查项做成可复制清单：① 记录网关 plist 与二进制 sha256；② 升级前后各跑一次 doctor 并 diff；③ 在 VNC 会话中完成首屏授权并录屏；④ 将 LaunchAgent 变更走 code review；⑤ 金丝雀通过后滚动到生产。对受监管客户，把「谁点了哪个系统设置开关」映射到变更单号，而不是散落在个人聊天记录里。把本页与 launchd 重启 runbook 交叉链接，可在网关抖动时快速判断是 TCC 还是服务生命周期问题。
当团队从笔记本试验迁到云端独占机时，最容易忽略的是「个人 Apple ID 与机群账户」混用导致的钥匙串与隐私列表污染。统一使用服务账户登录图形会话完成一次性授权，再把日常自动化切回 SSH，可把此类问题一次性根治。
TCC 卫生是把每台 Mac mini M4 当作严肃自动化节点的一部分：Apple Silicon 并不会让苹果隐私模型失效。原生 macOS 网关需要 SSH 做可重复修复，也需要 VNC 让人类确认必须点掉的同意框。在香港、日本、韩国、新加坡或美国 租用专用 Mac mini M4 可获得隔离机器，避免与个人笔记本配置互相污染。升级来临，可预测硬件 加文档化矩阵胜过玄学——若要按区域拆分金丝雀与生产机队，请打开 定价 对比方案。