风险最高的是远程登录（SSH）和远程管理，其次为SMB文件共享、互联网共享、个人网页/FTP共享，最低为局域网内打印机与文件共享；加固需遵循最小权限、明确边界、关闭冗余。
macOS 的共享设置本身不是风险源，但开启不当或配置松散时，会成为攻击者横向移动、数据窃取甚至远程控制的入口。真正危险的不是“开了共享”，而是“开了什么、谁可访问、权限多大”。加固核心是：最小权限原则 + 明确访问边界 + 关闭冗余服务。
哪些共享功能风险最高？
按实际威胁等级排序（从高到低）：
- 远程登录（SSH）和远程管理（Apple Remote Desktop）：直接暴露命令行或图形控制权，一旦账户密码弱或被撞库，等同于交出整台设备。
- SMB 文件共享（尤其对 Windows 用户启用时）：历史上 SMB 协议存在多个远程代码执行漏洞（如 EternalBlue 衍生变种），且默认可能暴露用户名、共享结构，为暴力破解提供线索。
- 互联网共享（将 Mac 当路由器用）：把本机变成网络出口节点，若未设强 Wi-Fi 加密（如仍用 WEP 或短密码），外部设备可蹭网、嗅探流量，甚至反向渗透 Mac 本身。
- 个人网页共享或 FTP：若托管内容含敏感信息，或服务未及时更新，可能被利用上传 Webshell 或触发目录遍历。
- 打印机共享与文件共享（仅局域网内）：风险相对较低，但若未设密码保护或权限宽松（如“所有人”可读写），内部人员或访客可能误删、篡改或泄露文件。
关键加固操作清单
不追求全开，只保留必需项，并收紧每一道门：
- 逐项审查“共享”面板：打开“系统设置 → 共享”，关闭所有未明确需要的服务。哪怕只是临时测试，用完立刻关掉。
- 禁用 SMB 的来宾访问：进入“共享 → 文件共享 → 选项”，取消勾选“允许客人存储文件”，并确保“使用 SMB 共享文件和文件夹”下只勾选你确认授权的用户账户，而非“所有人”。
-
远程登录务必配密钥认证：若必须开 SSH，不要依赖密码登录。在终端运行
ssh-keygen生成密钥对，将公钥放入~/.ssh/authorized_keys，再进“系统设置 → 共享 → 远程登录”，点击右下角“编辑”，勾选“仅允许使用 RSA 密钥的用户连接”，并取消“允许密码认证”。 - 互联网共享启用强加密：若需共享网络，Wi-Fi 设置中必须选 WPA2/WPA3，密码至少 12 位含大小写字母、数字；绝对避免 WEP 或纯数字密码。
- 为共享文件夹设细粒度权限：添加共享文件夹后，点击右侧“i”图标，在“用户”列表里逐个设置——管理员可读写，协作同事设“只读”，临时访客设“只写（投递箱）”，彻底移除“所有人”权限。
容易被忽略的联动风险点
共享设置常与其他功能产生隐性冲突，需同步检查：
- 自动登录与共享共存 = 零防护启动：只要启用了自动登录，任何人在你离开时碰一下键盘就能连上你的共享文件夹、启动远程桌面，FileVault 也形同虚设。务必关闭自动登录（“系统设置 → 用户与群组 → 登录选项”中清空下拉菜单）。
- 访客账户开启即扩大攻击面：访客账户默认可访问共享文件夹（如果权限设为“所有人”）。若无需接待临时用户，直接关闭“访客用户”；若必须开，请在“共享 → 文件共享”中将其权限明确设为“无访问权限”。
- 防火墙未覆盖共享端口：开启“系统设置 → 隐私与安全性 → 防火墙”后，点击“防火墙选项”，勾选“阻止所有传入连接”——这会自动拦截未授权的 SMB、SSH 等请求，比单纯关服务更可靠。
日常维护建议
安全不是一次设置就一劳永逸：
- 每月花两分钟打开“共享”面板，确认没有新增或意外启用的服务；
- 每当新装软件（尤其标榜“协同”“远程控制”的工具），检查它是否偷偷启用了共享服务；
- 员工离职或设备移交前，重置所有共享密码、删除对应账户、关闭其相关共享权限。
