macos可通过命令行精准管理用户组与目录权限：用id和dscl查改组成员，用chmod+acl设细粒度目录权限，并可用launchd实现登录时自动策略生效。
macOS 没有图形化“组策略编辑器”，但完全可以通过命令行与系统机制精准管理用户组成员和目录权限。核心在于三件事：查清谁在哪个组、把人加进或移出组、再用 ACL 给特定目录设细粒度访问规则。
查看和确认用户组成员关系
最直接的方式是用 id 命令：
- 查当前用户：运行 id，会列出 UID、GID 和所有所属组（包括 primary group 和 supplementary groups）
- 查指定用户：比如 id alice，就能看到 alice 属于哪些组，比如 staff、admin、project-team
- 只看某个组的成员：用 dscl . -read /Groups/project-team GroupMembership，返回的是该组当前所有用户名
增删用户组成员（本地账户）
使用 dscl 是 macOS 原生、稳定的方式：
WeChat macOS Proxy
下载
macOS 微信消息自动化工具。通过 GUI 自动化实现：发送消息给指定联系人、读取聊天内容、监控新消息。适用于需要自动化微信操作的场景，如定时发送、批量回复、消息备份等。依赖 peekaboo 进行屏幕截图和 UI 交互。仅支持 macOS。开源地址：https://github.com/chairmanmia...
- 把用户加入组：sudo dscl . -append /Groups/project-team GroupMembership alice
- 从组中移除用户：sudo dscl . -delete /Groups/project-team GroupMembership alice
- 创建新组：sudo dscl . -create /Groups/project-team，之后再添加成员
- 注意：每个用户至少需属于一个组（如 staff），不要清空其所有组成员资格
对特定目录设置精细访问权限
标准 chmod 的 owner/group/others 三级权限不够用，必须启用并配置 ACL：
- 先确保目标目录支持 ACL：sudo fsaclctl -p /path/to/dir --enable（仅首次需要）
- 给整个组赋权（含子目录）：chmod -R +a "group:project-team:allow read,write,execute" /shared/project
- 单独禁止某人访问：chmod +a "bob:deny read,write,execute" /shared/confidential
- 查看当前 ACL 设置：ls -le /shared/project，每行末尾带 “+” 表示启用了 ACL
配合登录自动生效策略（可选进阶）
macOS 不自动刷新策略，但可通过 launchd 在用户登录时触发校验或权限同步：
- 在 ~/Library/LaunchAgents/ 下放一个 plist 文件，定义登录时运行脚本
- 脚本里可用 id -gn 判断当前用户主组，再执行 chmod 或 mount -u -o ro 等操作
- 适用于敏感目录（如 /Applications/Tools）按需锁定为只读，或挂载前检查组权限
