macos无安装/卸载时自动限网机制，需手动配置：一、防火墙设“阻止传入连接”；二、用socketfilterfw命令阻断出站联网；三、lulu实现首次联网弹窗拦截；四、卸载前需手动清理残留网络规则。

macos 本身不提供“安装/卸载时自动限制联网”的机制，限制 app 后台联网权限需在安装完成后手动配置。系统不会因安装方式（app store、官网下载、拖拽安装）而默认赋予或剥夺网络权限，所有联网行为均由应用自身发起，控制权完全在防火墙或第三方工具层面。

一、安装后立即用系统防火墙锁定入站连接

这是最基础且稳定的做法，适用于所有 macOS 13 及以上系统：

• 安装完 App 后，立刻进入“系统设置 → 网络 → 防火墙”，点击“防火墙选项…”
• 点锁图标输入管理员密码解锁，再点“+”添加该 App（如 /Applications/Notion.app）
• 在列表中将其设为“阻止传入连接”——这能防止远程设备通过端口扫描、调试接口等方式主动连入该 App
• 注意：此操作不影响 App 自己发请求（如检查更新、同步数据），仅封堵外部访问入口

二、用 socketfilterfw 彻底阻断出站联网（含后台行为）

若你希望 App 安装后完全无法“偷偷联网”（比如上传日志、验证许可证、推送通知），必须使用终端命令强制拦截其所有出站连接：

macOS Local Voice

利用 macOS 原生能力实现本地语音识别与合成。通过 yap (Apple Speech.framework) 进行语音转文字，通过 say + ffmpeg 进行文字转语音。完全离线，无需 API 密钥。具备音质检测与智能选声功能。

下载

• 打开终端，先启用防火墙服务：sudo /usr/libexec/ApplicationFirewall/socketfilterfw --setglobalstate on
• 添加阻断规则（路径务必准确）：sudo /usr/libexec/ApplicationFirewall/socketfilterfw --add /Applications/WPS\ Office.app --block
• 执行 sudo /usr/libexec/ApplicationFirewall/socketfilterfw --listapps 查看是否显示 blocked
• 对依赖多个进程的软件（如 Adobe、Zoom），还需单独屏蔽其 Helper 或 Service 进程，否则可能绕过主程序限制

三、借助 LuLu 实现安装即拦截的自动化流程

LuLu 是目前唯一能在 App 第一次尝试联网时实时弹窗、并一键生成永久规则的免费工具，适合批量管理新装软件：

• 安装 LuLu 后首次启动，按提示在“安全性与隐私 → 隐私 → 完全磁盘访问”和“内核扩展”中授权
• 安装完一个新 App（如 Obsidian），首次打开它时，LuLu 会弹出连接请求窗口
• 直接选“拒绝”并勾选“记住此规则”，后续所有 TCP/UDP 出站请求都会被静默拦截
• 支持按域名、端口、协议细化规则，例如只允许访问本地 127.0.0.1:3000，但禁止连公网

四、卸载前确认网络规则是否残留

macOS 防火墙规则不会随 App 卸载自动清除，长期积累可能影响新装同名软件或造成误拦截：

• 卸载 App 前，建议先打开“防火墙选项”，在列表中手动删除对应条目
• 若用 socketfilterfw 添加过规则，运行 sudo /usr/libexec/ApplicationFirewall/socketfilterfw --remove /Applications/XXX.app 清理
• LuLu 的规则保存在 ~/Library/Application Support/LuLu/rules.plist，可编辑或重置
• 不清理也不会导致系统变慢，但可能让重装同一 App 时仍被拦截，造成困惑