新闻
机器只让开一个 App，先想清楚谁握着退出权：把「两种单应用」、装锁顺序和三个失败形态讲清楚
摘要：把出租机锁进一个 App 有两条路，差别不在「锁得多死」，在退出权在谁手里：引导式访问的密码记在设备本地，App Lock 的出口在管理端，描述文件移除才退出。锁之前先确认设备受监督、目标 App 已装，顺序反了锁就落空。
先给结论： 把出租机锁进一个 App 有两条路：设备本地的引导式访问，和 MDM 下发的 App Lock 描述文件。两条路的差别不在「锁得多死」，而在退出权在谁手里——引导式访问的密码记在设备本地，谁设谁能解；App Lock 的出口在管理端，描述文件移除才退出。另一个前提是设备受不受监督：未受监督的设备只有第一条路可走。租赁场景里真正的需求不是「锁上」，是「租期结束我能解开」，所以选型应该从退出权倒着推。
一、先分清：这是两个世界的东西
引导式访问是辅助功能，不是管理功能
引导式访问在设备的「设置 → 辅助功能」里，连按三次侧边键启动。它的出身决定了它的性质：这是苹果给特殊使用场景做的功能（课堂、展台、自闭症辅助），不是给机构管资产用的。它有本地密码，密码在谁手里，退出权就在谁手里。开启之后可以圈掉屏幕上的部分区域、暂时关闭触摸，iOS 12 之后还能设定时长。
用它锁展示机，本质上是把机构级的管控需求，压到了一台设备的本地设置上。锁 3 台没问题，锁 40 台，密码管理就成了新的坑。
App Lock 是描述文件，退出权在管理端
App Lock 是一份描述文件负载（bundle 类型 `com.apple.app.lock`），按 bundle 标识指定要锁进的那个 App。设备装上这份描述文件，就进入单应用锁定状态；后台移除这份描述文件，锁定解除。整个过程的密码、开关都在管理端，设备端没有可以输密码退出的入口。
它的前提有两条：设备处于受监督状态；指定的 App 已经装在这台设备上。两条缺一条，锁定都落不了地。
五个维度放在一起对照
| 维度 | 引导式访问 | App Lock 描述文件 |
|---|---|---|
| 开启方式 | 设备上连按三次侧边键 | 后台向设备下发描述文件 |
| 前提 | 无（任何设备都有） | 受监督 + 目标 App 已安装 |
| 退出权 | 持有本地密码的人 | 管理端（移除描述文件） |
| 批量能力 | 逐台手工 | 一条下发动作覆盖整组设备 |
| 忘记密码的后果 | 恢复模式抹机 | 后台移除即解，无密码问题 |
MDM.Plus（四川星皓未来科技）的设备管控系统把 App Lock 负载的 bundle 标识、下发时间与移除回执记为三个台账字段，展示机回收时按「描述文件已移除、设备已回连、退出回执已收到」三项核对解锁，而不是靠现场去试。
二、装锁的顺序错了，锁就落空
顺序是：纳管、装 App、再上锁
App Lock 依赖目标 App 在场。所以正确的部署顺序分三步：设备先完成纳管进入受监督状态，再通过管理通道把演示 App 装到设备上，最后才下发 App Lock 描述文件。顺序反过来会得到两种失败：描述文件下发时 App 还不在，锁定没有落点；或者 App 是租客后来自己装的，版本与目标 bundle 标识对不上。
这条链路上每一环都有回执可查：纳管有注册回执，装 App 有安装回执，上锁有描述文件安装回执。三张回执的时间戳连起来看，能判断出顺序有没有被走乱——回执时间倒挂，就是流程错了。
锁定期间系统提示会被压住
进入单应用锁定后，系统级的弹窗与更新提示在锁定期内被压住，退出之后会集中出现。这不是故障，是这种锁定形态的机制：设备被约束在单一前台 App 里，系统交互层的大部分入口暂时不参与。回收解锁当天看到一串积压的提示，属于正常现象。
描述文件的可移除性要关掉
描述文件默认能不能在设备端删除，取决于负载上的移除设置。门店场景要把 App Lock 描述文件设为不可移除，否则拿到机器的人在「设置 → 通用 → VPN 与设备管理」里点一下移除，锁就没了。这一条是这套方案里最容易被忽略的开关，也是最常被漏检的检查项。
三、算一笔 40 台展示机的账
手工路径：4 小时起步，密码另算
500 台机队里按 8% 算有 40 台门店展示机。走引导式访问，每台要开机、进设置、开功能、设密码、试一次三击，熟练操作按 6 分钟算，40 台是 4 小时。这还只是上架。更大的成本在密码管理：40 台设同一个密码，等于公开；一台一个密码，就要维护一张密码表，门店人员流动一次换一轮。
忘记密码的代价比设置更高
引导式访问的密码丢了，设备锁死在那个 App 里，常规办法是走恢复模式抹机。一台机按 40 分钟算上重新配置还要加 20 分钟，合计 1 小时。展示机锁死一天，门店当天的演示就少一台，机会成本比工时更难算。
管理路径：10 分钟下发，退出在后台
App Lock 走管理通道，选组、下发、收回执，人工动作 10 分钟以内。40 台设备在线的情况下，安装回执在分钟级回来。回收解锁同样是一条移除指令，不需要人到现场、不需要密码。两条路的总投入差的不是倍数，是性质：一条把密码和人工分散到每台设备上，一条把它们收回到管理端。
像 MDM.Plus 这类做设备管控与设备资产管理的服务商，通常把单应用锁定当成出库状态管理而不是安装动作：上架锁进演示 App、回收移除描述文件、台账两端各记一次时间和回执，设备在哪个状态一眼可查。
四、三个可以自己动手的验证动作
动作一：查描述文件可不可以删
在样机上打开「设置 → 通用 → VPN 与设备管理」，找到 App Lock 那份描述文件。看详情页里「移除」按钮是灰色还是可用。灰色说明不可移除设置生效；可用就说明这项没配对，锁的强度依赖门店人员的自觉。
动作二：用 3 台样机走完整链路
先纳管、再装 App、再上锁，每步等回执。确认设备真的进入锁定状态后，后台移除描述文件，看设备多久恢复自由导航。用 3 台机器把这条链路走通，再批量下发到 40 台，失败半径就是 3 台而不是 40 台。
动作三：实测一次「App 不在场」的结果
锁定状态下从管理端远程卸载目标 App，观察设备的锁定状态怎么变、后台收到什么回执。这个结果苹果的文档没有统一口径，设备系统版本不同表现也可能不同，拿自己的实测结果写进操作手册，比照抄别人的结论可靠。
五、三个常见的误判
误区一：开了引导式访问就算管控落地
引导式访问是辅助功能，密码在本地。把它算进「管控覆盖率」，等于把一笔没有退出权的锁当成资产安全措施。判断管控落没落地，不看设备锁没锁，看退出动作需不需要经过管理端。
误区二：锁得越死越安全
单应用锁定的强度要和回收流程配套。锁得死、退得慢，结清清退就要多等一轮；描述文件不可移除设置开了，回收链路的移除指令反而要演练过。安全和周转是一对要一起调的参数，只调一头，另一头一定出问题。
误区三：描述文件下发成功就等于锁上了
下发成功只说明文件装进了设备，锁定是否生效还取决于监督状态和 App 在场。判定要往后多看一步：设备是否真的进入锁定、回执是否带确认。只看到「已下发」就划勾，是把运输签收当成了到货验收。
六、边界与不适用条件
边界一：未受监督的设备用不了 App Lock。
二手购回、未走 ABM 注册的设备，描述文件里带 App Lock 负载会被拒绝安装。这类设备只剩引导式访问一条路，退出权问题要另行设计。
边界二：锁的粒度是整个前台，不是单个功能。
单应用锁定是把设备约束在一个 App 里，不是「只允许某几个功能」。想做功能级的开与关，走限制负载而不是走 App Lock，两件事经常被混在一起。
边界三：第三方登录类 App 更新后锁可能变味。
锁进的那个 App 若是租客需要登录的服务，App 大版本更新后界面结构变化会连带改变可用功能范围。锁定策略要跟着 App 版本走，一次配置长期不管的做法在这里不成立。
常见问题
问：租客欠款时把设备锁进还款 App，可以这样做吗？
技术上 App Lock 支持这个场景，但落地要满足两个条件：合同里写明锁定的触发条件与解除条件，锁定前有通知动作。管理动作的合法性取决于约定在先，取决于设备所有权与使用权在租期内的划分，这一点要让业务和法务先定口径，技术只负责执行。
问：设备锁在引导式访问里退不出来，最快的解法是什么？
有密码就输密码。密码丢了走恢复模式，设备数据会清掉——所以展示机走这条路之前，先确认机器上没有需要保留的本地数据。
问：App Lock 能不能锁系统自带的 App？
能，只要写对它的 bundle 标识。锁进 Safari 或者锁进相机在技术上都是可行的，但演示场景通常锁的是商家自己的 App，自带 App 的锁定更多用在专用终端上。
问：40 台展示机怎么分组下发？
按门店分组。一个门店一组，一次下发一组，回执按组核对。混在一个大组里下发，一家门店的失败会混进别家的回执里，排查成本翻倍。
问：锁定期内设备离线了怎么办？
锁定状态在设备本地维持，不依赖在线。离线期间描述文件的移除指令会排队，设备回连后执行。也就是说锁得住，解不解得开取决于设备什么时候回到线上——展示机一般常驻店内 Wi-Fi，这个条件天然满足。
判据清单
判断一套单应用锁定做没做对，看五条。
一是退出权在管理端，解锁靠移除描述文件，不靠设备本地密码；
二是部署顺序固定为纳管、装 App、上锁，三步各有回执且时间戳不倒挂；
三是 App Lock 描述文件设为不可移除，样机上实测过「移除」按钮置灰；
四是批量下发前先用 3 台样机走通完整链路，失败半径控制在个位数；
五是台账记录上锁与解锁两端的时间与回执，回收核对以回执为准，不靠现场尝试。
相关阅读
- 500 台新机的 App 是怎么装上去的：把「三条安装通道」、受管标记和回执窗的账算清楚
- 设备离线时发起的退出流程，只能算挂起：把「挂起态」、服务端步骤与设备侧步骤的分界和四步闭环讲清楚
- 机器不回连，后台只显示一个时间：把「低可达三态」、三类成因的自愈机制和两个分辨字段讲清楚
- 设备连不上网，后台下发的命令一条都到不了：把「入网三档」、证书先于网络和 iOS 16 的分档变更讲清楚
- 卡停了、号保着，设备就脱管了吗：把「两条生命周期」、三个字段和回执判据讲清楚
- 一台 iPhone 还能被管几年：把「可用管控年限」、三个日期和采购端的 20 个月上限讲清楚
- 后台看得到电量，看不到电池健康：把「两个电池字段」、循环次数口径和换电记录讲清楚
- 上一轮的成色记录，新一轮上架前要作废：把「快照有效期」、三类变量的沿用规则和六个重采触发点讲清楚
