用途：为 Apple Notes 自动化脚本提供安全最佳实践，触发词为“apple notes security”。
主要能力：围绕三层安全机制展开——macOS TCC 控制哪些应用可向 Notes.app 发送 Apple Events、沙箱阻止直接访问数据库、iCloud 加密保护传输与静态数据。关注点包括防止未授权 Apple Events 访问、保护导出笔记数据、避免脚本凭据泄露，以及区分标准笔记与端到端加密（锁定）笔记。
使用方式：仅通过系统设置或经批准的 MDM 配置文件为确切客户端授予 Apple Events 同意；自动化保持本地运行，拒绝网络提供的笔记内容、脚本片段与 shell 参数；备份加密、写入前限制访问、按保留流程删除临时产物；跳过锁定或不可读笔记并记录脱敏失败。查看自动化权限可执行：open "x-apple.systempreferences:com.apple.preference.security?Privacy_Automation"。安全导出示例使用 mktemp、trap 清理、umask 077 与 osascript -l JavaScript。凭据应存入钥匙串，如 security add-generic-password -a "notes-automation" -s "notes-export-key" -T /usr/bin/osascript，再用 security find-generic-password 读取。
适用场景：本地笔记导出、自动化权限审查、OS 升级后的权限复核、企业访问控制前的准备。
限制：锁定（端到端加密）笔记无法通过 JXA 读取，body() 会报错，且没有编程解锁 API，需用户在 Notes.app 中处理；TCC 提示被拒后不会再次弹出，可用 tccutil reset AppleEvents 重置；macOS 升级可能清除部分 TCC 条目，需重新批准。输出审查结果不得包含 TCC 数据库行、钥匙串密钥、笔记正文或原始标题。