在macOS上创建用户账户并合理分配权限，关键在于选对账户类型：管理员可安装软件、修改系统设置、管理其他用户；标准用户仅能使用已有应用、保存个人文件、修改自身偏好；首次账户默认为管理员，但日常建议用标准账户，提权时输入管理员密码；升级或降级权限须通过“用户与群组→高级选项”修改账户类型，不可直接切换；禁用自动登录、不共享密码、不共用管理员账户是三大安全底线；标准账户配合屏幕使用时间可实现应用限额、停用时段、内容过滤等可控管理。
在 macOS 上创建用户账户并合理分配权限，不是“建完就完”的操作，而是系统安全与日常协作的基础。关键不在于功能多复杂，而在于类型选对、权限收放有度、避免常见误操作。
创建账户时，类型决定权限边界
管理员和标准用户不是“差不多”的区别，而是权限层级的根本分野：
- 选“管理员”：能安装软件、改系统设置、管理其他用户、访问任意文件——适合主控者或 IT 支持人员
- 选“标准”：只能使用已有应用、保存个人文件、修改自身偏好设置——适合孩子、同事或临时使用者
- 首次设置的账户默认为管理员，但日常使用建议切换为标准账户，仅在需要提权时输入管理员密码
升级/降级权限，必须通过“高级选项”修改
账户类型不能在创建后直接点击切换，需手动进入配置界面：
- 在“系统设置 → 用户与群组”中解锁后，右键目标用户（注意：不能是当前登录账户）
- 选择“高级选项”，将“账户类型”从“标准用户”改为“管理员”，或反之
- 改完立即生效，无需重启，但 GUI 界面可能需注销重进才能刷新显示状态
安全底线：避开三个高危习惯
很多权限问题其实源于配置疏忽，而非技术门槛：
- 禁用管理员账户的“自动登录”——否则开机即获最高权限，毫无防护
- 不共享管理员密码——临时授权某项操作（如装软件），应现场输入，而非交出凭证
- 不为多人共用同一管理员账户——每个管理员都应有独立账号，便于审计与追责
配合屏幕使用时间，让标准账户更可控
对家庭或教育场景，标准账户+屏幕使用时间是黄金组合：
- 管理员登录后，进入“系统设置 → 屏幕使用时间 → 其他用户”，开启对应标准账户的管控开关
- 可设定应用使用时长、停用时间段（如晚上10点后锁屏）、通信对象白名单、内容过滤规则
- 所有策略由管理员统一配置，标准用户无法关闭或绕过，仅能申请临时延长（需管理员输入密码）
