macOS访客用户是独立、自动清理、默认隔离的临时会话机制，登录即新建环境、登出即全盘销毁；启用后系统自动分配独立空间且不继承主账户配置，需配合FileVault、权限收紧、屏幕使用时间管控及“仅限共享”账户实现纵深防御。
macos 的访客用户不是普通账户的简化版，而是一套独立运行、自动清理、默认隔离的临时会话机制。它的安全性不靠“手动设限”堆砌，而是由系统底层设计保障——登录即新建环境，登出即全盘销毁。真正有效的配置，是激活原生能力并关闭例外通道。
启用并确认访客账户基础隔离
这是所有限制的前提。访客账户一旦启用，系统会自动分配独立用户空间（/Users/Guest），且不继承主账户任何配置、密钥链或 iCloud 状态。
- 打开“系统设置” → “用户与群组”，点击右下角锁图标输入管理员密码解锁
- 在用户列表下方找到“访客用户”，勾选“允许访客用户登录到这台 Mac”
- 务必检查界面底部是否显示“访客用户的文件将在其退出后自动删除”提示——这是机制生效的明确信号
- 若使用 FileVault 加密，访客将默认只能使用 Safari，且无法保存任何本地文件，这是额外加固层
切断文件与共享层面的泄露路径
访客虽不能直接进入你的 /Users/xxx 目录，但若你开启了共享服务或文件夹权限宽松，仍可能被间接访问。关键在于主动收口，而非依赖默认。
- 在“用户与群组”中，点击“访客用户”条目，再点“编辑”，取消勾选“允许访客访问我的文件夹”
- 打开访达，前往“前往”→“前往文件夹”，输入 /Users/你的用户名（替换为实际名称）
- 右键该主目录 → “显示简介” → 展开“共享与权限”，点击锁图标解锁 → 点击“+”添加“访客用户”，将其权限设为“无访问”
- 回到“用户与群组”→“登录选项”，取消勾选“连接到共享文件夹时允许访客访问”，避免局域网侧漏
用屏幕使用时间做行为级管控
家长控制已整合进“屏幕使用时间”，它比旧式家长控制更稳定、适配新系统，且能对访客账户单独生效。
- 进入“系统设置” → “屏幕使用时间” → 开启“为访客设置使用时间限额”，设定每日总时长（如 60–90 分钟）
- 进“App 限额” → 添加新限额 → 仅允许 Safari、邮件、备忘录等必要应用，其他一律屏蔽
- 进“内容与隐私访问限制” → 关闭“允许安装 App”“允许更改系统设置”“允许访问钥匙串”
- 在“网站”部分可设为“仅允许访问以下网站”，手动填入几个可信域名，彻底阻断任意网页浏览
按需补充“仅限共享”账户作为轻量替代
如果访客只需打印、访问共享文件夹，而不需要桌面交互，这种账户更安全——它根本不会出现在登录窗口，也无法启动 Finder 或任何图形界面。
- 在“用户与群组”中点“+” → “新账户”下拉选“仅限共享”
- 填写账户名和密码（密码可设简单，因不用于图形登录）
- 创建后，该账户只响应 SMB/AFP 共享、AirPrint 打印、屏幕共享请求，其余一切功能均不可见、不可用
- 适合家庭成员临时取文件、同事连打印机等场景，比访客账户更收敛
