关键不是“给谁开权限”，而是“谁该有、有什么、怎么限”：一、确认账户类型与归属（管理员/标准/仅限共享）并优先建用户组；二、在系统共享中绑定文件夹与用户/组，禁用访客访问；三、用访达简介面板设acl并递归应用；四、启用smb协议，为勾选用户绑定有效密码。
macos 用户账户管理中配置共享文件夹权限，关键不是“给谁开权限”，而是“谁该有、有什么、怎么限”。系统默认设置宽松，必须手动收紧才能保障安全与协作效率。
一、先确认账户类型与归属关系
账户类型决定基础能力边界，无法后期更改，必须前置理清：
- 管理员账户只留给设备维护者（如IT或家长），不用于日常办公；多人共用一个管理员账户会直接破坏权限隔离
- 标准用户拥有独立环境，但默认无法访问他人主目录（如 /Users/otheruser/Documents），这是天然隔离层
- 若需纯远程协作（如只传文件、不登录桌面），应创建“仅限共享”账户——它不出现在本地登录界面，仅支持SMB或AFP访问共享资源
- 建议优先建用户组（如 design-team 或 project-alpha），再把成员加入其中。后续权限统一配给组，比逐个设用户更可控、易维护
二、在共享设置中绑定文件夹与用户/组
这一步是网络可见性的起点，缺它则其他权限全无效：
- 进入 系统设置 → 通用 → 共享，打开“文件共享”开关
- 点击“共享文件夹”下方的“+”，添加目标路径（推荐使用 /Users/Shared/子目录，避免跨卷或iCloud云盘等不兼容位置）
- 点“用户”区域的“+”，选择“用户与群组”，从中挑出你已建好的组（如 design-team）或具体账户
- 为该用户/组单独设定权限：只读（查阅）、读与写（可编辑）、可写入但不可删除（防误删核心文档）
- 务必取消勾选页面底部的“允许访客访问”，除非你明确需要无账号临时上传
三、用访达简介面板加固文件系统级权限
系统共享设置只管“网络连接时的行为”，而访达简介里的ACL才真正控制“这个文件夹在本地或远程操作时的实际能力”：
- 在访达中右键点击已共享的文件夹 → “显示简介” → 展开“共享与权限”
- 点锁图标解锁，输入管理员密码
- 将宽泛条目（如 everyone、staff）全部设为“无访问权限”或“只读”
- 点击“+”添加特定用户或组，设为“读取与写入”，再点齿轮图标 → “应用到包含的项目”，让权限递归生效
- 注意：图形界面无法实现“可写不可删”，这类精细控制需终端命令补足
四、启用SMB并绑定有效凭证
尤其对Windows、iPhone、安卓设备，SMB是唯一可靠协议。空密码、未勾选账户、协议未启用，三者任一缺失都会导致连接失败：
- 仍在“共享”设置页，点右下角“选项…” → 勾选“使用 SMB 来共享文件和文件夹”
- 在“Windows 文件共享”列表中，勾选对应用户（组本身不在此列，但组内成员若已启用SMB即可凭各自账户登录）
- 为每个勾选用户输入其当前系统登录密码（不能为空）
- 记下Mac的局域网IP（在“网络”设置中查看），对方设备通过 smb://192.168.x.x 访问
