可在Mac上通过四种方式限制特定应用联网：一、系统设置→网络→防火墙→防火墙选项中添加并阻止该应用；二、系统偏好设置→安全性与隐私→防火墙→防火墙选项中同法操作；三、终端执行socketfilterfw命令添加并阻断应用；四、用pf引擎编写规则文件拦截其全部网络通信。
如果您希望在Mac上限制某个特定应用程序访问互联网，则可通过系统内置防火墙对单个软件实施联网拦截。以下是实现该目标的多种具体操作路径：
一、通过“系统设置”图形界面配置防火墙应用规则
此方法适用于运行macOS Ventura、Sonoma或Sequoia等较新系统的用户，全程使用图形化操作，无需命令行知识，直接在系统设置中完成单项软件联网禁用。
1、点击屏幕左上角苹果菜单，选择“系统设置”。
2、在左侧边栏中点击“网络”，随后在右侧内容区向下滚动并点击“防火墙”选项。
3、若防火墙处于关闭状态，先点击“打开防火墙”按钮启用基础防护。
4、点击界面左下角的锁形图标，输入管理员密码解锁设置权限。
5、点击“防火墙选项”按钮进入高级配置窗口。
6、点击窗口左下角的“+”号，从弹出的访达窗口中定位并选择目标应用程序（例如“微信”或“迅雷”）。
7、在应用列表中找到刚添加的程序，将其右侧的开关由绿色“允许”切换为红色“阻止传入连接”。
8、点击“好”保存更改，该应用即刻无法接收任何外部网络请求。
二、通过“安全性与隐私”偏好设置启用并配置防火墙
该路径兼容macOS Monterey及更早版本，也适用于部分新系统中“防火墙”未直接显示在“网络”设置下的情况，属于系统级标准入口，确保规则写入底层策略。
1、点击苹果菜单，选择“系统偏好设置”（非“系统设置”）。
2、双击打开“安全性与隐私”图标。
3、切换至“防火墙”标签页。
4、点击左下角的黄色锁形图标，输入管理员密码完成解锁。
5、点击“打开防火墙”启动防护机制。
6、点击“防火墙选项…”按钮。
7、点击“+”号，浏览并选中需禁止联网的应用程序，点击“添加”。
8、在列表中选中该应用，将对应选项由“允许传入连接”改为“阻止传入连接”，最后点击“好”确认。
三、使用终端命令精确控制指定应用的联网行为
该方式绕过GUI限制，直接调用socketfilterfw服务，可对应用执行细粒度的传入/传出连接阻断，适合需要脚本化部署或验证规则是否生效的场景。
1、打开“应用程序” > “实用工具” > “终端”。
2、执行以下命令启用全局防火墙（如尚未开启）：
sudo /usr/libexec/ApplicationFirewall/socketfilterfw --setglobalstate on
3、输入管理员密码（无回显），按回车确认。
4、添加目标应用路径并禁止其传入连接：
sudo /usr/libexec/ApplicationFirewall/socketfilterfw --add /Applications/WeChat.app
5、执行阻断指令：
sudo /usr/libexec/ApplicationFirewall/socketfilterfw --unblockapp /Applications/WeChat.app
sudo /usr/libexec/ApplicationFirewall/socketfilterfw --blockapp /Applications/WeChat.app
6、验证该应用当前策略：
sudo /usr/libexec/ApplicationFirewall/socketfilterfw --getappinfo /Applications/WeChat.app
7、输出中若显示“Connection is blocked”，表示禁网已成功应用。
四、创建自定义入站与出站规则（高级手动配置）
当系统默认防火墙界面无法满足精确控制需求时，可借助pf（Packet Filter）引擎编写规则文件，强制拦截指定应用的全部网络通信，包括主动外连行为。
1、打开终端，创建临时规则文件：
sudo nano /etc/pf.antisoft.conf
2、在编辑器中输入以下内容（以微信为例）：
block out quick on en0 proto {tcp,udp} from any to any port 80,443,8080
block in quick on en0 proto {tcp,udp} from any to any port 80,443,8080
3、保存并退出（Ctrl+O → Enter → Ctrl+X）。
4、加载规则：
sudo pfctl -ef /etc/pf.antisoft.conf
5、启用pf防火墙：
sudo pfctl -e
6、确认规则已载入：
sudo pfctl -sr | grep "block out"
7、若返回匹配行，表明该规则集已激活，目标应用所有TCP/UDP外联请求均被强制丢弃。
