Mac防火墙需通过“系统设置→网络→防火墙”或“系统设置→隐私与安全性→防火墙”启用，Ventura及更新版用前者，Monterey及更早版用后者；开启后须点击锁图标输入管理员密码解锁，再点击“打开防火墙”，并可通过“防火墙选项”配置隐身模式、阻止全部传入连接及应用级规则。
当你在咖啡馆连上公共Wi-Fi时，Mac仍默认启用允许签名软件的防火墙策略，这会让AirDrop、文件共享等服务暴露在外——必须让防火墙自动切换为高防护模式，才能阻断扫描与未授权连接。
确认当前系统版本与防火墙基础状态
点击屏幕左上角苹果菜单 → “系统设置”，在左侧边栏滚动查找“网络”或“隐私与安全性”。若看到“防火墙”直接列在其中，说明你使用的是 macOS Sequoia（15.x）或 Ventura（13.x）及以上版本；若只在“系统偏好设置”里找到“安全性与隐私→防火墙”，则为 Monterey（12.x）或更早系统。无论哪种路径，【必须先确保防火墙已开启且处于“已启用”状态】，否则后续自动化规则不会生效。
通过“网络位置”创建专用Wi-Fi配置档
macOS 不支持按SSID直接触发防火墙开关，但可通过“网络位置”机制间接实现：为特定Wi-Fi网络绑定一套独立的网络与安全参数组合。
第一步：打开“系统设置” → 左侧边栏点击“网络” → 右上角三个点 → 选择“位置” → 点击“编辑位置…” → 点击“+”新建一个位置，命名为“咖啡馆防护模式”。
第二步：保持该位置选中，回到“网络”主界面 → 点击右侧“Wi-Fi” → 点击右下角“详细信息” → 在“网络名称”栏手动输入你要匹配的Wi-Fi名（如“Starbucks_WiFi”），注意大小写与空格需完全一致；勾选“自动加入此网络”。
第三步：仍在该Wi-Fi详情页，点击底部“高级” → 切换到“防火墙”标签页 → 此时会显示“使用此位置的防火墙设置”，点击“配置防火墙…” → 勾选“阻止所有传入连接”和“启用隐身模式”，取消勾选“自动允许已下载的签名软件接收传入连接”。【这一步不可跳过，否则防火墙不会按位置切换策略】
部署和使用军舰的 macOS Automator 自动化服务集合。包含 5 个实用工作流：PDF转JPG、PNG重命名并转JPG、图像拼接、解压RAR、顺序命名图像文件。一键安装所有服务到 ~/Library/Services/ 目录。使用场景：(1) "安装我的自动化服务"，(2) "部署所有 Automato...
第四步：点击“好”保存防火墙配置 → 返回“网络”主界面 → 点击右上角“完成”退出编辑。此时系统已将该Wi-Fi名称与高防护防火墙策略绑定。
手动触发位置切换验证效果
方法一：断开当前Wi-Fi，在Wi-Fi菜单中选择目标网络（如“Starbucks_WiFi”）→ 连接成功后，系统会自动加载“咖啡馆防护模式”位置，并同步启用所设防火墙规则。
方法二：若未自动切换，点击苹果菜单 → “系统设置” → “网络” → 顶部“位置”下拉菜单 → 手动选择“咖啡馆防护模式” → 等待几秒，状态栏即显示“防火墙已启用（高防护）”。
终端验证命令：打开“终端”，输入 sudo /usr/libexec/ApplicationFirewall/socketfilterfw --getglobalstate 回车，再输入管理员密码，返回“Firewall is enabled.”即表示基础防火墙运行中；再执行 sudo /usr/libexec/ApplicationFirewall/socketfilterfw --getblockall，返回“BlockAll is enabled.”说明“阻止所有传入连接”已生效。
恢复日常低风险网络策略
回到“系统设置→网络→位置”，将位置切回“自动”或你日常使用的“家用网络”档位，防火墙即刻恢复默认策略：允许签名软件、关闭隐身模式、不阻止全部入站连接。
