macos防火墙默认不记录拦截日志，需先执行sudo /usr/libexec/applicationfirewall/socketfilterfw --setloggingenabled true启用日志开关，再通过rsyslog将alf日志分流至/var/log/alf.log，并用tail -f或log show实时查看deny事件。
macOS 自带防火墙默认不记录任何拦截行为，必须通过终端命令显式开启日志开关并重载配置，否则/var/log中永远看不到拒绝连接的痕迹。
启用防火墙拦截日志
这一步是整个流程的前提，没有它，后续所有日志路径都无效。
打开「终端」，执行以下命令：
sudo /usr/libexec/ApplicationFirewall/socketfilterfw --setloggingenabled true
执行后系统不会提示成功，但可通过下一条命令验证：
sudo /usr/libexec/ApplicationFirewall/socketfilterfw --getloggingenabled
若返回 【enabled】，说明日志功能已激活。
注意：仅启用日志开关还不够——它只让防火墙开始写入系统日志缓冲区，但 macOS 默认不将这些消息持久化到磁盘文件。
把拦截日志导出到独立文件
系统默认把防火墙日志混在统一日志流里，用 log show 查找效率极低。推荐用 rsyslog 分流到专用文件，便于审计和脚本分析。
第一步：创建 rsyslog 配置文件
sudo nano /etc/rsyslog.d/alf.log.conf
第二步：在文件中写入两行规则（严格按格式，不能有多余空格）：
:msg, contains, "ALF" /var/log/alf.log
& stop
第三步：创建日志文件并赋权
sudo touch /var/log/alf.log && sudo chown root:wheel /var/log/alf.log
第四步：重启服务使配置生效
sudo launchctl kickstart -k system/com.apple.syslogd
sudo pkill -HUP rsyslogd
实时查看拦截记录
方法一：直接监听日志文件变化
tail -f /var/log/alf.log
方法二：用 log show 过滤 ALF（Application Layer Firewall）模块的实时事件
log stream --predicate 'subsystem == "com.apple.alf"' --info
方法三：回溯最近10分钟内的拦截事件（含时间戳、进程名、目标端口）
log show --predicate 'subsystem == "com.apple.alf" AND eventMessage CONTAINS "deny"' --last 10m --info
当某程序被防火墙拦截时，日志中会出现类似这样的条目：
ALF: Denying connection from /Applications/Python\ 3.11/Python Launcher.app (pid 12345) to port 8000 proto=6
