macos防火墙需关闭“自动允许已签名软件”并配合socketfilterfw命令行工具才能有效拦截未知联网程序；默认开启时签名应用静默放行，关闭后所有未授权程序首次联网均触发弹窗，后台服务还需通过launchctl和socketfilterfw深度管控。
MacOS 防火墙本身不会主动“拦截权限申请”，它只控制传入连接（inbound connections）；所谓“未知联网程序弹窗”，其实是 socketfilterfw 在后台检测到未授权二进制发起网络连接时，触发系统级提示——这个行为由防火墙开启 + “自动允许已签名软件”关闭共同决定。要真正卡住未知程序的联网尝试，得组合配置图形界面与命令行工具。
关闭“自动允许已签名软件”触发强制弹窗
这是最关键的一步。默认开启时，Safari、Chrome 等签名应用直接放行，根本不会弹窗；关掉它，所有未明确添加到白名单的程序（无论是否签名）首次尝试监听端口（如本地开发服务器、数据库、P2P 工具）都会被拦下并弹出授权对话框。
- 进入“系统设置 → 隐私与安全性 → 防火墙 → 防火墙选项…”
- 取消勾选“自动允许已签名的软件接收传入连接”
- 确保“开启防火墙”已打开，且左下角锁图标已解锁
- 该设置生效后，
python3 -m http.server 8000或ngrok http 3000这类命令会立刻触发系统弹窗，而非静默通过
用 socketfilterfw 查看并阻断静默联网进程
有些程序（尤其是 launchd 启动的守护进程）根本不走 GUI 弹窗路径，而是直接调用底层 socket API 尝试连接——它们会被 socketfilterfw 捕获，但默认规则可能已设为 allow。必须手动检查并 deny。
- 终端执行：
sudo /usr/libexec/ApplicationFirewall/socketfilterfw --list - 重点关注状态为
allow但路径含/tmp/、/var/folders/、~/.Trash或随机字符串（如com.apple.xxx-abc123）的条目 - 对可疑路径执行：
sudo /usr/libexec/ApplicationFirewall/socketfilterfw --setrule deny /path/to/executable - 注意：
--setrule不影响已运行进程，只约束后续启动；若想立即中断，还需配合killall -9或launchctl unload
从 launchd 层面定位自动联网服务
很多“未知联网程序”根本不是你手动打开的应用，而是随系统启动的后台服务（比如某些 IDE 插件、同步工具、远程调试代理）。它们的联网行为不会出现在防火墙 GUI 列表里，必须查 plist 注册点。
- 运行：
launchctl list | grep -i "network\|http\|connect"（用户级） - 再运行：
sudo launchctl list | grep -i "network\|http\|connect"（系统级） - 对疑似项查其 plist 路径：
launchctl print gui/$(id -u)/com.example.badapp - 重点看
ProgramArguments和inetdCompatibility字段；若指向临时目录或无签名二进制，直接launchctl disable gui/$(id -u)/com.example.badapp
真正难处理的是那些路径合法但行为异常的程序——比如正常签名的 Electron 应用偷偷连 telemetry 域名。这类情况仅靠防火墙规则不够，得结合 socketfilterfw --setglobalstate on 后配合 lsof -i -P -n 实时抓包验证，否则容易误判为“没拦住”。
