Mac防火墙仅拦截外部入站连接，不限制本机主动上网；需按系统版本进入对应设置路径开启，并通过“防火墙选项”配置应用级权限及高级选项如隐身模式、阻隔所有连接等。Mac 的防火墙只管“别人连你”，不管“你连别人”——它专用于拦截外部设备对 Mac 的入站连接（比如远程访问、局域网扫描、文件共享请求），但不会限制软件主动上网或发数据。开启和配置的关键在于：找对入口、开对开关、设对规则。
确认系统版本，走对设置路径
macos ventura（13.x）及更新系统（sonoma、sequoia）：
- 点击苹果菜单 →「系统设置」→ 左侧边栏「网络」→ 向下滚动点「防火墙」
- 首次操作前，点左下角锁图标，输入管理员密码解锁
- 若显示“关闭防火墙”，点「打开防火墙」即可启用基础防护
macOS Monterey（12.x）及更早系统：
- 点击苹果菜单 →「系统偏好设置」→「安全性与隐私」→ 切换到「防火墙」标签页
- 点左下角锁图标解锁，再点「打开防火墙」
配置应用级入站权限
默认开启后，系统会自动放行已签名软件（如 Safari、Zoom）和内建服务（如 AirDrop、文件共享），但未签名或开发中的程序仍会被拦。你需要手动添加并指定策略：
- 在防火墙主界面点「防火墙选项…」→ 点左下角「+」号
- 在访达中直接选取 .app 本体（例如 /Applications/WeChat.app），不能选快捷方式、别名或 .plist 文件
- 添加后，在列表中选中该应用 → 右侧下拉菜单设为「允许传入连接」或「阻止传入连接」
- 设为「阻止」后，该 App 仍可正常上网、发消息，但无法响应任何外部连接（如别人 ping 不通、局域网找不到、本地服务器不被访问）
用好三个实用高级选项
在「防火墙选项…」窗口中，这些勾选项直接影响安全性和日常体验：
- 阻隔所有传入连接：启用后，除极少数底层服务（如 mDNSResponder）外，一切外部连接都被拒。普通用户不建议开启，否则 AirDrop、屏幕共享、远程桌面都会失效
- 自动允许已下载的签名软件接收传入连接：默认开启，Apple 公证或可信 CA 签名的应用可免审通过。如需严格控制，可取消勾选，让所有新监听端口的程序首次运行时弹窗提示
- 启用隐身模式：Mac 不再响应 ping、端口扫描等探测包，对外“不可见”，但完全不影响你主动上网、收邮件等出站行为
终端命令补位管理（进阶）
图形界面做不到的操作，终端可以补上。打开「终端」后可执行：
- 查看当前状态：sudo /usr/libexec/ApplicationFirewall/socketfilterfw --getglobalstate
- 启用防火墙：sudo /usr/libexec/ApplicationFirewall/socketfilterfw --setglobalstate on
- 添加并立即阻止某 App：sudo /usr/libexec/ApplicationFirewall/socketfilterfw --add /Applications/WeChat.app --block
- 列出所有已注册规则：sudo /usr/libexec/ApplicationFirewall/socketfilterfw --listapps
注意：防火墙开启后，状态栏不会自动提示，务必用上述命令或返回设置页确认是否真在运行。
