macos防火墙是「安全性与隐私」框架下的核心执行组件，需管理员解锁后启用，支持签名软件自动放行、隐身模式及应用级精准阻断，并可通过图形界面或终端命令管理规则。

macos 的安全性选项与防火墙策略不是两个独立模块，而是深度协同的一体化防护体系。防火墙本身属于「安全性与隐私」框架下的核心执行组件，其规则受系统签名验证、gatekeeper 机制和权限模型共同约束，所有设置都需在管理员权限下解锁生效。

找到并启用防火墙的正确入口

路径取决于你的 macOS 版本：

• macOS Ventura（13.x）及更新系统（如 Sonoma、Sequoia）：苹果菜单 →「系统设置」→ 左侧边栏「隐私与安全性」→ 向下滚动找到「防火墙」→ 点击进入
• macOS Monterey（12.x）及更早版本：苹果菜单 →「系统偏好设置」→「安全性与隐私」→ 顶部切换至「防火墙」标签页
• 部分新系统中「防火墙」也可能出现在「系统设置」→「网络」→「防火墙」，属等效路径，功能完全一致

无论哪种路径，首次修改前都必须点击界面中的锁形图标，输入当前管理员密码解锁——这是强制安全步骤，无法跳过。

理解默认策略与关键开关含义

开启防火墙后，系统并非“一刀切”拦截所有连接，而是按可信等级分层处理：

macOS Automator Services

部署和使用军舰的 macOS Automator 自动化服务集合。包含 5 个实用工作流：PDF转JPG、PNG重命名并转JPG、图像拼接、解压RAR、顺序命名图像文件。一键安装所有服务到 ~/Library/Services/ 目录。使用场景：(1) "安装我的自动化服务"，(2) "部署所有 Automato...

下载

• 「自动允许已签名的软件接收传入连接」默认开启：Apple 公证或开发者 ID 签名的应用（如 Chrome、Zoom、VS Code）会自动放行，无需手动添加
• 「自动允许内建软件接收传入连接」也默认开启：系统服务（如 AirDrop、文件共享、远程登录）可正常响应合法请求
• 「阻止所有传入连接」慎选：勾选后将禁用全部非基础服务，可能中断协作工具、开发服务器、NAS 访问等，仅适合临时高风险场景（如连接公共 Wi-Fi）
• 「启用隐身模式」推荐开启：Mac 不再响应 ping 或端口扫描，对外“不可见”，但不影响你主动上网、收邮件等出站行为

为特定应用单独设限

当某个软件（比如微信、迅雷、测试用的本地 Web 服务）你不希望它被外部访问时，可精准控制：

• 在「防火墙选项」中点「+」号 → 定位到 /Applications/WeChat.app（必须选 .app 包本体，不能选别名或快捷方式）→ 添加后，在列表中将其右侧状态从「允许」改为「阻止」
• 终端命令方式（适合批量或脚本）：
  sudo /usr/libexec/ApplicationFirewall/socketfilterfw --add /Applications/WeChat.app --block
  执行后立即生效，可用 --listapps 查看当前规则列表

验证与日常维护要点

防火墙开启后，状态栏不会自动显示图标，需主动确认：

• 图形界面：返回防火墙主页面，确认显示「防火墙已开启」
• 终端验证：sudo /usr/libexec/ApplicationFirewall/socketfilterfw --getglobalstate，返回 Firewall is enabled. 即为运行中
• 每季度检查一次「防火墙选项」里的应用列表，移除已卸载或不再使用的旧软件条目，避免残留规则干扰
• 安装新开发工具（如 ngrok、Docker Desktop）、远程协作类 App 后，建议回此界面确认是否已自动列入许可名单；若未出现，手动添加并设为「允许」