mac上java文件读写被拒是jvm安全检查与macos tcc双层拦截所致，需分别授权ide/终端java路径、使用paths api、检查权限并配置jdk 17+启动参数。
Java程序在Mac上读写文件被拒：通常是JVM沙箱或系统权限双层拦截
Mac对Java应用的文件访问限制比Linux更严格，尤其从JDK 17+开始，java.io.File和Files.readAllBytes()在访问用户目录外路径（比如/usr/local、/etc）时，会先触发JVM自身的安全检查，再撞上macOS的TCC（透明化/全盘控制）弹窗或静默拒绝。常见报错是java.nio.file.AccessDeniedException或java.security.AccessControlException，但后者在现代JDK中默认已禁用安全管理器——所以大概率是前者。
- 确认是否真被TCC拦截：打开「系统设置 → 隐私与安全性 → 完全磁盘访问」，看
java或你的IDE（如IntelliJ IDEA.app）是否在列表里且已勾选 - 别只给IDE授权：命令行运行的
java -jar app.jar走的是/usr/bin/java或$JAVA_HOME/bin/java，需单独为该二进制授权（路径可用which java查） - 开发阶段绕过TCC最稳方式：把测试文件放在用户目录下（如
~/tmp/test.txt），避免碰系统路径
用Files API替代File类：避免隐式路径解析陷阱
File类在Mac上容易因路径拼接不规范触发越界访问（比如new File("../config.yaml")在IDE工作目录不确定时可能指向根目录），而Files配合Path能做更可控的校验。
- 用
Paths.get()代替字符串拼接：Path config = Paths.get(System.getProperty("user.home"), "myapp", "config.yaml") - 加一层存在性与可访问性检查：
if (Files.isReadable(config) && Files.isRegularFile(config)) { ... } - 写文件前确保父目录存在：
Files.createDirectories(config.getParent())，否则Files.write()直接抛NoSuchFileException - 避免
File.getAbsolutePath()：它返回的是逻辑绝对路径，不反映真实权限边界；优先用Path.toAbsolutePath().normalize()
JDK版本与启动参数：JDK 17+默认启用更强的文件访问限制
从JDK 17起，--add-opens和--enable-native-access不再是可选项，而是影响底层I/O行为的关键开关。尤其当你用JNI或NIO.2的AsynchronousFileChannel时，权限模型变了。
- 若必须访问受限路径（如开发调试需要读取
/var/log），启动时加：--add-opens java.base/java.io=ALL-UNNAMED --enable-native-access=ALL-UNNAMED - 但注意：
--enable-native-access在JDK 21+要求显式声明模块，否则报错Module not found: java.base——此时得补上--add-modules java.base - 别在
.zshrc里全局设JAVA_TOOL_OPTIONS：它会影响所有Java进程（包括Gradle daemon），导致构建失败
IDE内嵌JVM与终端JVM不是同一个东西：权限要分别配
IntelliJ或VS Code Java插件启动的程序，用的是IDE自带的JVM（路径类似/Applications/IntelliJ IDEA.app/Contents/jbr/Contents/Home/bin/java），和你在终端敲java调用的完全无关。TCC授权、JVM参数、甚至JAVA_HOME都可能不同。
立即学习“Java免费学习笔记（深入）”；
- 在IDE里运行前，先确认「Run → Edit Configurations → Configuration → JRE」选的是你配好权限的JDK路径
- 终端验证方式：
ps aux | grep java看进程实际加载的java路径，再用xattr -l /path/to/java检查是否带com.apple.quarantine属性（有则需xattr -d com.apple.quarantine /path/to/java） - Gradle项目容易踩坑：
./gradlew run用的是项目配置的org.gradle.java.home，不是系统JAVA_HOME，得在gradle.properties里明确指定
真正麻烦的从来不是加几行代码，而是Mac把“哪个java进程”“在哪儿跑”“向谁申请权限”拆成了三个独立环节，漏掉任一环都会静默失败。
