В проекте sandbox-runtime сообщили о двух ошибках, из-за которых файловые запреты на macOS могут работать слабее, чем обещает конфигурация. Первая касается символических ссылок: защищённый файл остаётся доступен для изменения по другому пути. Вторая возникает при обработке шаблонов имён: проверка на единственной строке с буквой `x` способна убрать нужный запрет на чтение. Оба случая описал пользователь inanna-malick в обращении №790. Речь идёт о коде, который переводит настройки sandbox-runtime в правила системной защиты macOS...