macos多用户访问限制需分层实施：先按角色设管理员、标准、仅限共享账户；再用屏幕使用时间管控行为；关闭自动登录并隐藏非必要账户；最后通过文件共享细化资源权限。
在 macOS 中配置多用户环境的访问限制，核心是分层控制：用账户类型划定权限边界，用系统功能封堵越权路径，再叠加内容与行为策略。不是靠单一开关，而是组合生效。
按角色创建对应权限的本地账户
账户类型决定基础能力，创建时必须选对：
- 管理员账户仅限设备维护者使用，可增删用户、修改系统设置、重置他人密码——家庭中通常只设1个，避免多人拥有删除磁盘权限
- 标准用户账户是主力选择，每人一个，拥有独立桌面、钥匙串、Safari 数据和文稿目录，但无法安装系统级软件或查看他人主文件夹
- 仅限共享账户不显示桌面，不能运行 App，只能访问已开启共享的文件夹或打印机，适合临时协作者或访客轻量接入
启用屏幕使用时间做精细化管控
对标准用户（尤其是未成年人）追加行为约束，不改变账户类型，但能有效限缩实际可用范围：
- 进入“系统设置→屏幕使用时间”，点击“添加家庭成员”选中目标用户
- 开启“内容与隐私访问限制”，可禁止特定 App（如游戏、社交）、屏蔽成人网站、禁用 App Store 下载与内购
- 设定每日使用总时长、停用时段（如22:00后自动锁定），并限制通信对象（仅允许联系人列表中的人）
关闭自动登录并隐藏非必要账户
防止物理接触下的无感越权：
- 在“系统设置→用户与群组→登录选项”中，将“自动登录”设为“关闭”——避免开机即进某人桌面
- 对测试账户、旧账户或仅用于终端访问的账户，用终端命令隐藏：打开终端，输入 sudo dscl . create /Users/username IsHidden 1（把 username 替换为实际名称），该账户将不再出现在图形登录界面
- 确保“访客用户”若启用，其下方“连接到共享文件夹时允许访客访问”处于未勾选状态，否则局域网内任何设备都可能直接读取你共享的文稿或照片文件夹
配合文件共享设置细化资源权限
当多个用户需共用某个文件夹时，权限不能只靠账户类型兜底，要逐人分配：
- 先在“系统设置→通用→共享”中开启“文件共享”，并添加目标文件夹（如“/Users/Shared/设计素材”）
- 在“用户”列表中点击“+”，逐个添加已有账户；然后在每个用户右侧下拉菜单中指定权限：只读（查看）、读与写（编辑保存）、可写入但不可删除（防误删关键模板）
- 若需更强控制，可在访达中右键该文件夹→“显示简介”→底部“共享与权限”，点锁图标解锁后点击“+”添加用户，并勾选“应用到包含的项目”同步权限
