macOS访客账户是系统级隔离机制，每次登录新建环境、退出即清空数据；安全启用需“启用+限制”双管齐下：开启原生访客账户、禁用其访问个人文件夹、配合FileVault加密、用屏幕使用时间管控应用与时长、关闭共享服务及跨设备同步功能。
macOS 的访客用户账户不是普通账户，而是一套系统级隔离机制：每次登录都新建环境，退出即清空全部数据，包括浏览记录、下载文件、临时偏好设置等。真正安全的启用方式，是“启用+限制”双管齐下，而不是只勾个开关就完事。
启用原生访客账户（基础隔离）
这是所有后续限制的前提，必须从系统设置中开启，而非手动创建账户。
- 点击苹果菜单 → “系统设置” → “用户与群组”
- 点右下角锁图标，输入管理员密码解锁
- 在用户列表下方找到“访客用户”，勾选“允许访客用户登录到这台 Mac”
- 确认界面底部提示“访客用户的文件将在其退出后自动删除”已显示
关闭访客对个人数据的访问权限
即使启用了访客账户，默认也可能允许其浏览你主目录下的公开文件夹（如“文稿”“下载”），需主动切断这一通路。
- 在“用户与群组”中，点击已启用的“访客用户”条目
- 点右侧“编辑”按钮（或双击该行）
- 取消勾选“允许访客访问我的文件夹”
- 若已启用 FileVault 加密，访客将仅能使用 Safari，且无法保存任何本地文件——这是额外加固层
用屏幕使用时间做行为管控
访客可能想多开几个标签页、误点系统设置，甚至尝试安装软件。屏幕使用时间可为访客单独设定规则，比旧版家长控制更精准、更适配当前系统。
- 进入“系统设置” → “屏幕使用时间”
- 开启“为访客设置使用时间限额”，设每日总时长（例如 60 分钟）
- 进“App 限额” → 添加新限额 → 只允许 Safari、邮件、备忘录等必要应用
- 进“内容与隐私访问限制” → 关闭“允许安装 App”和“允许更改系统设置”
- 在“App”子项中，明确禁用终端、系统设置、钥匙串访问、磁盘工具等高危应用
阻断网络与共享服务入口
访客虽不能登录桌面，但若共享服务开着，仍可能通过局域网访问你的打印机、文件夹甚至远程控制界面。
- 在“用户与群组”→“登录选项”中，确保 AirDrop、屏幕共享、远程登录均对访客禁用
- 进入“系统设置”→“网络”→“共享”，关闭文件共享、屏幕共享、打印机共享等所有开关
- 返回“用户与群组”，取消勾选“连接到共享文件夹时允许访客访问”
- 若借出前已登录 iCloud，建议临时关闭短信转发、Handoff、钥匙串同步等跨设备功能
