需切断everyone默认权限、关闭继承并精准授权指定用户——先确认文件夹归属为当前管理员，再在“显示简介”中将everyone设为“无访问权限”，点击“忽略继承权限”，添加指定用户并设最小必要权限，最后递归应用至全部子项并用ls -le验证。
Mac给敏感的财务文件夹设置独立访问权限ACL，不是简单勾选“只读”或拖进共享文件夹，而是要切断默认everyone通路、锁定继承关系、并精准授予指定用户或群组最小必要权限——否则标准用户仍能通过访达直接打开~/Documents/Finance里所有子文件。
准备前提：确认财务文件夹位置与归属
打开访达，定位到你要保护的财务文件夹（例如~/Documents/Finance或/Volumes/AccountingDrive/2026-Q3）。右键→「显示简介」→检查「名称与图标」区域中「拥有者」是否为你本人账户名；若显示为“nobody”或“root”，说明该文件夹曾被终端误操作修改过所有权，必须先修复，否则后续ACL设置无效。
【必须确保拥有者是你当前登录的管理员账户】
关闭继承并清除everyone默认权限
在「显示简介」窗口中，展开「共享与权限」区域。点击右下角锁形图标，输入管理员密码解锁。
找到列表中的「everyone」行，将其权限从「读取与写入」或「读取」改为「无访问权限」。这一步极其关键——macOS新建文件夹默认赋予everyone读取权，不手动清除，任何标准用户都能看到文件名甚至预览内容。
点击齿轮图标 → 选择「忽略此项目的继承权限」。系统会弹出提示：“移除后，该文件夹将不再继承父目录的权限设置”，点击「移除」。这一步断开了上层目录（如Documents）对它的权限覆盖，让ACL真正生效。
添加指定用户或群组并设定精细权限
点击齿轮图标 → 「添加用户或群组…」→ 点击「+」号 → 在弹出窗口中选择「高级」→ 点击「本地网络用户」或直接输入已存在的用户名（如“zhangwei”），回车确认。
在新添加的用户右侧下拉菜单中，选择权限组合：
• 若需允许查看+编辑+新增文件 → 选「读取与写入」
• 若仅允许查阅报表PDF但禁止修改Excel → 选「只读」
• 若需允许删除错误录入的单据 → 必须额外启用ACL扩展权限：点击该用户条目右侧的「详细权限…」→ 勾选「删除」和「添加文件」→ 点击「好」
【不要勾选“应用到包含的项目”直到最后一步】——提前应用会导致子文件夹权限混乱，尤其当其中混有临时缓存或日志时。
递归应用权限至全部子项
第一步：点击齿轮图标 → 「应用到包含的项目」
第二步：系统弹出确认框，显示将修改的项目总数（如“正在更改127个项目的权限”），点击「继续」
第三步：等待进度条完成。期间不要关闭窗口或中断操作，否则ACL状态将处于不一致中间态，部分子文件可能残留everyone权限
第四步：关闭「简介」窗口，立即在终端执行验证命令：ls -le ~/Documents/Finance。输出中应出现类似0: group:finance-team allow read,write,delete,add_file,add_subdirectory的行，且无anyone字样。
