MacBook默认防火墙关闭，需手动开启并配置隐身模式、应用级规则及本地网络权限才能有效防护。具体操作包括：系统设置→网络→防火墙→打开并输入管理员密码；防火墙选项中启用隐身模式、添加/阻止特定App传入连接；隐私与安全性→本地网络中精细管控各应用扫描权限。
你的MacBook在咖啡馆连上Wi-Fi后，可能正被同一网络里的设备扫描端口、尝试建立连接——这不是危言耸听，而是默认关闭防火墙的真实风险。苹果内置的网络安全策略必须手动开启并精细配置，否则设备始终处于“裸奔”状态。
启用系统级防火墙基础防护
点击屏幕左上角苹果菜单 → 选择“系统设置” → 在左侧边栏点按“网络” → 向下滚动找到并点击“防火墙”。
若右侧显示“关闭”，点按“打开防火墙”按钮 → 系统弹出锁形图标，【必须输入当前登录账户的管理员密码，仅输一次，不保存】 → 输入后防火墙立即启动，开始拦截未经许可的传入连接。
这一步完成后，macOS会自动放行系统核心服务（如文件共享、远程登录），但第三方应用默认被隔离。
为特定软件单独设置传入连接规则
有些软件（比如微信、迅雷、开发用的本地服务器）你希望它能收消息或提供服务，但又不想让它暴露在公网里被随意探测——这时需要逐个控制。
方法一：图形界面操作（推荐新手）
在已打开的“防火墙”面板中，点按右下角“防火墙选项…” → 点击左下角“+”号 → 在访达窗口中精准定位到 【/Applications/WeChat.app 这样的完整 .app 包本体，不能选别名或快捷方式】 → 添加后，在列表中找到它，将其右侧下拉菜单从“允许传入连接”改为“阻止传入连接” → 点按“好”生效。
方法二：终端命令强制阻断（适合批量或脚本化）
打开“终端” → 执行：sudo /usr/libexec/ApplicationFirewall/socketfilterfw --add /Applications/WeChat.app --block
回车后输入管理员密码（无视觉反馈）→ 再执行：sudo /usr/libexec/ApplicationFirewall/socketfilterfw --listapps
确认 WeChat.app 后显示 “blocked” 即成功。
开启隐身模式隐藏设备存在感
公共网络中最危险的不是主动攻击，而是被扫描发现——隐身模式让Mac对ping请求和端口扫描完全“失声”，别人查不到你在不在、开了什么端口。
第一步：进入“防火墙选项…”窗口
第二步：勾选“启用隐身模式”复选框
第三步：点按“好”退出
注意：此操作不影响你主动访问网页、收邮件、发消息等所有出站行为，只沉默响应外部探测。
精细化管理本地网络访问权限
很多App（如Home Assistant、飞书、甚至某些游戏）会悄悄扫描你家局域网里的打印机、NAS、智能灯泡——它们未必恶意，但你有权决定谁可以扫。
选取苹果菜单 → “系统设置” → 左侧边栏点按“隐私与安全性” → 向下滚动点按“本地网络”。
列表中会出现所有曾申请过该权限的App，逐个开关即可。例如：关闭“钉钉”的本地网络权限，它就再也找不到你家路由器后台页面；保留“Home”权限，才能控制智能插座。
这个开关独立于防火墙运行，是第二道细粒度防线。
