macOS沙盒应用网络访问需多层控制：必须声明com.apple.security.network.client权限，首次联网触发用户授权弹窗，防火墙仅管控传入连接，精细策略需socketfilterfw等工具。

macOS 应用沙盒策略中网络访问控制不是“开或关”的简单选择，而是由签名权限、系统提示、防火墙规则和运行时行为共同构成的多层防线。核心在于：沙盒应用必须显式声明联网能力，且首次连接需用户确认，后续行为受 entitlements 严格约束。

沙盒应用必须声明网络客户端权限

启用沙盒后，应用默认无法发起任何出站网络请求。要获得联网能力，必须在 entitlements 文件中明确设置：

• com.apple.security.network.client 设为 true —— 这是出站连接（如访问 API、下载资源）的必需权限
• 若应用还需监听本地端口（如提供 HTTP 服务），则额外声明 com.apple.security.network.server
• entitlements 配置必须与代码签名一致；签名失效或权限缺失会导致 Operation not permitted

首次联网触发系统级授权弹窗

即使 entitlements 已正确配置，macOS 仍会在应用首次尝试建立网络连接时弹出系统提示：“XXX 想访问网络”。用户点击“允许”后，系统才授予该应用对应权限。

macOS Automator Services

部署和使用军舰的 macOS Automator 自动化服务集合。包含 5 个实用工作流：PDF转JPG、PNG重命名并转JPG、图像拼接、解压RAR、顺序命名图像文件。一键安装所有服务到 ~/Library/Services/ 目录。使用场景：(1) "安装我的自动化服务"，(2) "部署所有 Automato...

下载

• 该弹窗仅对未被沙盒完全阻断的合法连接生效；恶意或异常签名应用可能不触发提示
• 用户拒绝后，应用将静默失败，不会重试或绕过 —— 这是沙盒强制执行的结果
• 弹窗出现时机取决于实际 socket 调用，而非启动时预加载

防火墙可补充控制传入连接

系统防火墙不管理沙盒应用的出站请求，但能限制外部设备主动连接本机（即传入连接）。适用于需要暴露服务的场景：

• 进入「系统设置 → 隐私与安全性 → 防火墙 → 防火墙选项」
• 点击「+」添加应用，确保其状态为「允许传入连接」
• 此设置不影响沙盒内联网权限，仅叠加一层传入流量过滤

沙盒外网络管控需额外工具支持

对于非沙盒应用或需要更精细规则（如按域名/端口拦截）的场景，macOS 提供底层工具：

• socketfilterfw：命令行防火墙工具，支持添加 host/port 级别规则
• LuLu：开源图形化防火墙，实时显示并拦截未知连接请求
• 企业环境可用 Santa 或 Endpoint Security 框架实现进程级网络策略