必须手动切断访客对“文稿”等文件夹的继承权限、禁用mDNSResponder和SMB服务、通过屏幕使用时间仅放行Safari、删除访客钥匙串并关闭Wi-Fi共享授权，才能实现严格隔离。
要让访客用户只能打开Safari上网、不能访问你的文稿或下载文件夹、也不能连接局域网共享，必须绕过系统默认的宽松策略，直接干预ACL权限树和网络服务开关。
关闭访客对本地敏感目录的访问权
访客账户默认可浏览“访达”侧边栏中的“文稿”“下载”“桌面”等位置，这不是因为它们被显式授权，而是因这些文件夹继承了父目录的“everyone”读取权限。必须手动切断这条继承链。
打开访达 → 导航至“文稿”文件夹 → 按 Command + I 打开简介窗口。
点开“共享与权限”区域的三角箭头 → 若右下角锁图标为锁定状态，先点击并输入管理员密码解锁。
在“名称”列表中查找“客人”，若未出现，点下方“+”号 → 在弹出的用户选择窗口顶部搜索框输入“guest” → 从结果中选中“guest”（不是“Guest User”或“Guests”群组）→ 点“添加”。【必须选中名为 guest 的单个用户条目，选错群组会导致整台Mac所有访客行为失控】
在右侧权限下拉菜单中，为“guest”选择“无访问权限” → 点击右下角齿轮图标 → 选“应用到包含的项目”。此操作将递归移除该文件夹内所有子项对 guest 的访问能力，且不可撤销。
禁用访客调用局域网发现协议的能力
访客能“看到”你家打印机、NAS或隔壁同事的Mac，是因为系统默认启用 mDNSResponder 和 SMB 浏览服务。这些服务不依赖账户登录态，而是由网络服务层全局开启——只要访客能联网，就自动生效。
方法一：通过图形界面关闭共享探测入口
前往“系统设置” → “用户与群组” → 向下滚动到“访客用户”设置区 → 取消勾选“允许访客用户连接到共享文件夹”。这一步会停用访客会话下的 SMB 客户端栈，但不影响 Safari 联网。
方法二：终端强制屏蔽 mDNS（更彻底）
打开“终端” → 输入：sudo launchctl unload -w /System/Library/LaunchDaemons/com.apple.mDNSResponder.plist
输入管理员密码 → 回车。此命令将全局禁用 Bonjour 发现服务，所有用户（含访客）都无法看到局域网设备名，也无法被其他设备发现。重启后失效，如需永久关闭，需配合配置描述文件。
限制访客可运行的应用程序范围
macOS 不提供访客专属的 App 白名单机制，但可通过屏幕使用时间功能实现等效控制：只放行 Safari，其余全部拦截。
第一步：启用屏幕使用时间管控
“系统设置” → “屏幕使用时间” → 点右上角锁形图标解锁 → 点“选项” → 将“屏幕使用时间”设为“为这台Mac启用”。
第二步：创建访客专用应用限额
点“App 限额” → 点右下角“+” → 选“添加限额” → 在“类别”中勾选“所有App” → 在“App”中取消全选 → 单独勾选“Safari” → 设置每日时长为“不限制” → 点“添加”。
第三步：绑定限额规则到访客账户
返回“屏幕使用时间”主页面 → 点“内容与隐私访问限制” → 开启开关 → 点“允许的App” → 关闭“App Store”“信息”“邮件”“访达”“终端”等所有非必要App开关 → 仅保留“Safari”为开启状态。此时访客登录后，桌面仅显示 Safari 图标，点击其他App图标无响应。
阻止访客访问钥匙串与Wi-Fi历史记录
访客无法读取你的 Wi-Fi 密码，是因为钥匙串默认不向 guest 用户授权；但若你曾用访客账户连过某个热点，该密码会被存入访客专属钥匙串，下次自动填充——这违背“无痕”初衷。
打开“钥匙串访问”App → 左侧边栏选中“访客”钥匙串（若不存在则跳过）→ 全选其中所有项目 → 按 Delete 键删除 → 在弹窗中点“删除”确认。
前往“系统设置” → “网络” → 选中 Wi-Fi → 点右侧“详细信息” → 切换到“Wi-Fi”标签页 → 确保“允许访客用户使用此服务”处于未勾选状态。这会让访客登录后完全看不到 Wi-Fi 列表，只能靠你手动输入密码或使用 iPhone 热点共享方式联网。
