macos多用户访问限制需通过账户类型划分、屏幕使用时间控制、共享权限设置及登录安全四方面协同实现：管理员仅限维护者，标准用户配屏幕使用时间限制，共享文件夹按需授权读写权限，关闭自动登录并隐藏非必要账户。
在 macOS 中配置多用户访问限制，核心是通过账户类型划分、系统级策略和共享权限三者协同实现，而不是靠单一开关。关键在于让每个用户只拥有完成其任务所必需的最小权限。
按角色选择正确的账户类型
账户类型在创建时即固化，无法后期更改，必须一步选对：
- 管理员账户：仅分配给设备维护者（如家长或IT负责人），可修改系统设置、安装软件、管理其他用户——但切勿多人共用一个管理员账户，否则权限失控风险极高；
-
标准用户账户：适合家庭成员或同事日常使用，拥有独立桌面、钥匙串、Safari 数据，但无法访问他人主目录（如
/Users/otheruser/Documents），也不能安装系统级软件； - 仅限共享账户：不出现于本地登录界面，仅支持通过局域网访问共享文件夹、打印机或启用屏幕共享，无法运行 App 或查看桌面，适合远程协作场景。
为标准用户叠加屏幕使用时间限制
这是针对儿童或需受控用户的最有效补充手段，不改变账户类型，但能精准约束行为：
- 进入“系统设置 → 屏幕使用时间”，点击“添加家庭成员”并选择对应的标准用户；
- 开启“内容与隐私访问限制”，可禁止特定 App（如游戏、社交软件）、过滤网站类别（如成人内容）、禁用应用内购买；
- 设定每日使用时长限额与自动停用时段（例如晚上 9 点后锁定所有非通讯类 App）；
- 在“通信限制”中指定仅允许联系人列表中的号码或邮箱收发信息。
精细控制共享文件夹的访问权限
即使用户有账户，也不代表能随意读写共享资源，需在“通用 → 共享 → 文件共享”中逐个授权：
- 先勾选“文件共享”服务，再点击“+”添加需共享的文件夹（建议使用
/Users/Shared下的子目录）； - 点击用户列表下方的“+”，从已有账户中选择要授权的对象（如“student”“teacher”）；
- 对每个用户单独设置权限：只读（适合查阅资料）、读与写（可编辑但不能删）、可写入但不可删除（防误删关键文档）；
- 若启用访客访问，务必确认已取消勾选“连接到共享文件夹时允许访客访问”，否则访客可通过局域网直接读取你开放的共享内容。
关闭自动登录并隐藏非必要账户
这两项操作虽不起眼，却是防止未授权访问的关键防线：
- 在“系统设置 → 用户与群组 → 登录选项”中，将“自动登录”设为“关闭”——避免开机即进桌面，给他人留下操作窗口；
- 对测试账户、旧账户或临时协作者账户，可在终端执行：
sudo dscl . create /Users/olduser IsHidden 1（把olduser换成实际账户名），该账户将不再出现在图形登录界面，但仍可通过 SSH 或命令行管理。
