macos 网络管控采用分层、按需、组合式设计，非依赖一键授权：系统默认允许已签名应用出站连接；新版内置防火墙支持图形化阻止单个app出站；旧系统或批量管理可用socketfilterfw命令；本地网络权限独立控制局域网发现；沙盒与签名机制构成底层静默防线。
macos 对应用调用网络接口的管控，不是靠“一键授权”或“运行时弹窗”实现的，而是分层、按需、组合式的设计。系统默认允许所有已签名应用发起出站连接，真正起效的限制必须主动配置，且不同场景对应不同工具和策略。
系统级防火墙：基础应用级出站拦截（macOS 15.3.2+）
新版 macOS 内置防火墙已支持对单个应用启用“阻止所有出站连接”，这是最直接的管控方式，无需第三方软件：
- 进入「系统设置 → 网络 → 防火墙 → 防火墙选项…」，解锁后点击「+」添加目标 App（如微信、迅雷等 .app 包）
- 在列表中选中该应用，勾选「阻止所有出站连接」（注意：此选项仅在较新版本中可见；若无此复选框，说明当前系统不支持图形化出站控制）
- 同时建议关闭「阻止传入连接」，除非你明确不需要该 App 接收外部请求（如远程调试、局域网共享）
终端命令 socketfilterfw：兼容旧系统与批量管理
对于 macOS 14 或更早版本，或需要脚本化部署的场景，socketfilterfw 是底层可靠的选择：
- 先启用服务：
sudo /usr/libexec/ApplicationFirewall/socketfilterfw --setglobalstate on - 添加阻断规则：
sudo /usr/libexec/ApplicationFirewall/socketfilterfw --add /Applications/WeChat.app --block - 查看生效规则：
sudo /usr/libexec/ApplicationFirewall/socketfilterfw --listapps - 注意：该命令只影响传入连接，但实际会干扰部分应用的网络初始化流程，间接抑制其联网行为
本地网络访问权限：独立开关，专管局域网发现
很多 App（如AirDrop、HomeKit 控制器、NAS 工具）需要扫描或连接同一局域网内的设备。这项能力被单独隔离为「本地网络」权限：
- 路径：「系统设置 → 隐私与安全性 → 本地网络」
- 列表中每个 App 都有独立开关，关闭后它将无法看到路由器下的其他设备、无法连接局域网打印机或智能家居中枢
- 该权限与互联网访问无关——即使关闭，App 仍可正常访问公网（如加载网页、同步云端）
沙盒与签名机制：静默防线
macOS 通过代码签名和沙盒 entitlements 实现底层约束，用户通常无需操作，但它是安全管控的根基：
- 未签名或公证失败的应用，在首次联网时可能被 Gatekeeper 拦截，或根本无法初始化网络栈
- 沙盒化 App 必须在开发阶段声明
com.apple.security.network.client权限，否则即使用户点击“允许”，也无法建立任何 TCP/UDP 连接 - 系统级进程（如 mDNSResponder、nsurlstoraged）不受用户防火墙规则影响，它们走的是内核网络路径，管控需通过 pfctl 或配置服务本身
