**1. 干什么** 沙盒 App 的私有数据存放于以 bundle id 命名的容器目录，容器内读写默认放行，容器外与跨 App 访问须经 entitlements 逐条授权。 **2. 谁在调** * 用户态主体：沙盒 App、取证工具。 * 系统层封装：文件路径访问经 POSIX，entitlements 策略。 * 内核态主体：AppleSandbox 规则强制。 **3. 做什么业务** 容器位于`~/Library/Containers/<bundle id>`，是 App 默认的私有目录，缓存、令牌与数据库存于其内部子目录。写容器外、读其他 App 容器均被策略拒绝。`~/Library/Application Support`为多 App 约定共享区，但进程能否进入仍由沙盒策略判定。 **4. 组件清单** * bundle id 命名容器目录 * 容器内私有子目录 * entitlements 跨区授权 * Application Support 共享区 **5. 最小可运行** ``` # 对比沙盒容器与普通应用支持目录 ls