macos沙盒应用网络访问需多层控制：必须声明com.apple.security.network.client权限，首次联网触发用户授权弹窗，防火墙仅管控传入连接，精细策略需socketfilterfw等工具。
macOS 应用沙盒策略中网络访问控制不是“开或关”的简单选择，而是由签名权限、系统提示、防火墙规则和运行时行为共同构成的多层防线。核心在于：沙盒应用必须显式声明联网能力，且首次连接需用户确认，后续行为受 entitlements 严格约束。
沙盒应用必须声明网络客户端权限
启用沙盒后，应用默认无法发起任何出站网络请求。要获得联网能力，必须在 entitlements 文件中明确设置：
- com.apple.security.network.client 设为 true —— 这是出站连接（如访问 API、下载资源）的必需权限
- 若应用还需监听本地端口（如提供 HTTP 服务），则额外声明 com.apple.security.network.server
- entitlements 配置必须与代码签名一致；签名失效或权限缺失会导致
Operation not permitted
首次联网触发系统级授权弹窗
即使 entitlements 已正确配置，macOS 仍会在应用首次尝试建立网络连接时弹出系统提示：“XXX 想访问网络”。用户点击“允许”后，系统才授予该应用对应权限。
- 该弹窗仅对未被沙盒完全阻断的合法连接生效；恶意或异常签名应用可能不触发提示
- 用户拒绝后，应用将静默失败，不会重试或绕过 —— 这是沙盒强制执行的结果
- 弹窗出现时机取决于实际 socket 调用，而非启动时预加载
防火墙可补充控制传入连接
系统防火墙不管理沙盒应用的出站请求，但能限制外部设备主动连接本机（即传入连接）。适用于需要暴露服务的场景：
- 进入「系统设置 → 隐私与安全性 → 防火墙 → 防火墙选项」
- 点击「+」添加应用，确保其状态为「允许传入连接」
- 此设置不影响沙盒内联网权限，仅叠加一层传入流量过滤
沙盒外网络管控需额外工具支持
对于非沙盒应用或需要更精细规则（如按域名/端口拦截）的场景，macOS 提供底层工具：
- socketfilterfw：命令行防火墙工具，支持添加 host/port 级别规则
- LuLu：开源图形化防火墙，实时显示并拦截未知连接请求
- 企业环境可用 Santa 或 Endpoint Security 框架实现进程级网络策略
