如何彻底禁止 macOS Big Sur 自动更新，去除更新标记和通知

作者：gc(at)sysin.org，主页：www.sysin.org

请访问原文链接：https://sysin.org/article/Disable-macOS-Update/，查看最新版。原创作品，转载请保留出处。

随着 macOS Big Sur 11.3 的发布，macOS 11 可靠性和性能已经大幅提升，下一个版本 11.4 笔者考虑直接屏蔽了。等到 11.5，Big Sur 更新的使命基本完成了。是时候屏蔽自动更新了！

提示：

以下步骤不是完全必要，但是全部执行可以确保解决顽固性的更新通知角标出现。

本文针对 macOS Big Sur，更低的版本有限适用。

如果是新安装系统，暂时不要联网，确保完美屏蔽更新。

1. 取消自动更新选项

请选取苹果菜单  > “系统偏好设置”，然后点按 “软件更新”。

取消勾选：“自动保持我的 Mac 最新”

参看：在 Mac 上更改 “软件更新” 偏好设置

2. macOS Big Sur 如何进行自动更新

路径：检测 > 通知 > 下载

检测：进程 /usr/libexec/nsurlsessiond 访问 Apple 相关 URL 检测软件更新；
通知：进程 /System/Library/PrivateFrameworks/SoftwareUpdate.framework/Versions/A/Resources/SoftwareUpdateNotificationManager.app/Contents/MacOS/SoftwareUpdateNotificationManager 负责通知，产生系统更新标记（小红点）；
下载：进程 /System/Library/PrivateFrameworks/MobileSoftwareUpdate.framework/Support/softwareupdated 负责下载软件更新。

所以要屏蔽自动更新和更新标记出现，解决方案如下：

检测（屏蔽网络访问） > 通知（取消执行权限） > 下载（屏蔽网络访问）。

3. 屏蔽网络访问

3.1 编辑 hosts 文件，添加如下内容

手动编辑：打开终端，执行命令 sudo vi /etc/hosts，添加以下条目；

127.0.0.1 swscan.apple.com

127.0.0.1 swcdn.apple.com

127.0.0.1 swdist.apple.com

推荐使用 SwitchHosts!（免费软件）。

一般使用该步骤即可发生作用，自动更新已经被屏蔽。

3.2 或者（或同时）使用防火墙软件屏蔽

推荐 Little Snitch，这是一个商业软件

新建规则 1：禁止下载更新相关的数据

Process Name：/usr/libexec/nsurlsessiond

Deny Outgoing Connections

To: Any Server
新建规则 2：禁止 Big Sur 下载进程网络访问

Process Name：/System/Library/PrivateFrameworks/MobileSoftwareUpdate.framework/Support/softwareupdated

Deny Outgoing Connections

To: Any Server

备注：在 macOS Catalina 进程 /System/Library/CoreServices/Software Update.app/Contents/Resources/softwareupdated 负责下载软件更新。

4. 清除系统更新标记（红点 1）

4.1 临时清除系统更新标记

如果已经检测到更新，可以使用如下方法临时去除更新通知标记。

打开 “终端”，执行如下命令：

defaults write com.apple.systempreferences AttentionPrefBundleIDs 0

Killall Dock

4.2 修改权限（一般可以忽略）

在 macOS Big Sur 相对于之前的版本，系统完整性保护进一步增强，无法在“恢复模式”下修改下述文件的权限。操作略嫌复杂，以下步骤仅供参考。

确保 FileVault 已经禁用（默认禁用），在 ” >> 系统偏好设置... >> 安全性和隐私 >> 文件保险箱” 查看。
进入恢复模式（启动到 recoveryOS），打开终端执行如下命令：

参看：关于 macOS 恢复功能：重启电脑，在黑屏的时候按住 command + R 进入恢复模式（可以按住 command + R 不放，直到 apple logo 画面出现）即可进入恢复模式，然后点击菜单栏，“实用工具 >> 终端”。
```
csrutil authenticated-root disable
```
正常重启到 macOS。
通过执行 mount 命令查找要挂载的设备（这里定义为 <DISK_PATH> ）：
```
$ mount

/dev/disk1s5s1 on / (apfs, sealed, local, read-only, journaled)
```
注意：这里的 / 目录的的设备名称显示 /dev/disk1s5s1，那么应该挂载的设备名称是 /dev/disk1s5，s1 表示 “Snapshot 1”（APFS 快照）：
创建一个新目录用于挂载（这里定义为 <MOUNT_PATH> ）：

例如：~/mount
```
mkdir -p -m777 ~/mount
```

执行挂载：

sudo mount -o nobrowse -t apfs <DISK_PATH> <MOUNT_PATH>

例如使用上面的值：

sudo mount -o nobrowse -t apfs /dev/disk1s5 ~/mount

在 <MOUNT_PATH> 下修改文件。

例如：

cd ~/mount

sudo chmod 644 System/Library/PrivateFrameworks/SoftwareUpdate.framework/Versions/A/Resources/SoftwareUpdateNotificationManager.app/Contents/MacOS/SoftwareUpdateNotificationManager

执行 sudo bless --folder <MOUNT_PATH>/System/Library/CoreServices --bootefi --create-snapshot。
重启系统生效。

提示：在 macOS Catalina 中只需要在 recoveryOS 操作即可，步骤如下：

进入恢复模式（启动到 recoveryOS）：

重启电脑，在黑屏的时候按住 command + R 进入恢复模式（可以按住 command + R 不放，直到 apple logo 画面出现）

参看：关于 macOS 恢复功能

打开 “终端”（Utilities (实用工具) -> Terminal（终端））：

# 切换到系统所在卷，默认名称是 “Macintosh HD”

cd /Volumes/Macintosh\ HD

# 如果修改了名称，假如系统卷名称是 Mac

cd /Volumes/Mac

取消 SoftwareUpdateNotificationManager 可执行权限（默认权限位是 751）：

检测系统更新时该进程一直在运行，即使屏蔽了网络访问，仍然可能出现通知标记，所以修改它的可执行权限来禁止它运行。
```
chmod 644 System/Library/PrivateFrameworks/SoftwareUpdate.framework/Versions/A/Resources/SoftwareUpdateNotificationManager.app/Contents/MacOS/SoftwareUpdateNotificationManager
```
退出终端，重启电脑，操作完毕。

5. 如果需要更新

不建议补丁打补丁的方式安装，可以使用完整软件包升级或者全新安装：

下载本站 macOS 镜像，完整安装。

macOS 下载汇总

 macOS Big Sur
或者取消上述第 3 条的屏蔽，访问 App Store 下载 macOS 完整软件包，下载后会自动保存在“应用程序”下面，直接安装即可。

6. 禁用 App Store 更新

6.1 确保 App Store > 偏好设置... 中取消勾选“自动更新”（默认）

6.2 清除更新标记（数字角标）

如果已经检测到更新，App Store 图标上出现红点数字，打开终端执行如下命令可以清除：

defaults write com.apple.appstored.plist BadgeCount 0

Killall Dock

参考：https://developer.apple.com/documentation/devicemanagement/appstore

6.3 禁用全局 App 更新

编辑 hosts 文件，添加如下内容：

手动编辑：打开终端，执行命令sudo vi /etc/hosts，添加以下条目；

127.0.0.1 gsp64-ssl.ls.apple.com

备注：因网络环境差异，地址可能有所差异，如果无效请反馈。使用防火墙屏蔽进程可以彻底解决该问题。