多人共用Mac时，须创建标准用户、禁用管理员权限、限制非App Store安装、重定向软件路径并关闭访客账户，以隔离用户间软件安装影响。
多人共用一台Mac时，普通用户随意安装软件会污染系统级目录、覆盖共享配置、触发全局权限弹窗，甚至导致其他用户打开App时反复提示“已损坏”或“无法验证开发者”。必须从账户类型、权限边界和安装路径三方面切断跨用户影响。
创建标准用户而非管理员
第一步：点击屏幕左上角苹果菜单（）→ 选择“系统设置”。
第二步：在左侧边栏滚动到底部，点击“用户与群组”。
第三步：点击左下角锁形图标 → 输入当前管理员密码解锁；【未解锁就点击+号，后续所有操作均无效】。
第四步：点击“+”按钮 → 在“新账户”下拉菜单中必须选择“标准用户”，绝不可选“管理员”。
第五步：填写全名、账户名称（创建后不可更改）、密码及提示 → 点击“创建用户”。
关闭该用户的管理员权限继承
标准用户创建后仍可能残留管理员组成员身份。需手动剥离：
进入“用户与群组”→ 点击左侧用户列表中的该账户 → 点击右下角“编辑”按钮（铅笔图标）→ 取消勾选“允许用户管理这台Mac” → 点击“完成”。
这一步能防止用户通过终端执行sudo命令绕过限制，否则任何带sudo的安装脚本（如Homebrew一键安装）都会直接写入/usr/local等全局路径。
禁用非Mac App Store来源的安装权限
方法一：图形界面强制拦截
进入“系统设置”→“隐私与安全性”→ 滚动到“安全性”区域 → 点击锁图标解锁 → 在“允许从以下位置下载的应用”中，仅勾选“App Store”，取消勾选“App Store和被认可的开发者”。
方法二：终端命令锁定（对已存在用户生效）
以管理员身份打开终端 → 执行：sudo spctl --master-disable → 再执行：sudo defaults write /var/db/SystemPolicyConfiguration/DefaultRules com.apple.quarantine -bool YES。
注意：此操作会立即阻止所有非App Store应用首次启动，包括用户自己下载的DMG或PKG安装包，但不影响已安装的合法应用运行。
重定向用户级软件安装路径
普通用户安装Homebrew、Python pip包、VS Code扩展等工具链时，默认仍会尝试写入系统路径。需主动接管：
在该用户的终端中执行：echo 'export PATH="$HOME/.local/bin:$PATH"' >> ~/.zshrc && source ~/.zshrc。
接着创建本地bin目录：mkdir -p ~/.local/bin。
此后所有通过curl | bash安装的脚本（如nvm、sdkman）或pip install --user命令，都会将可执行文件存入~/.local/bin，完全隔离于/usr/bin、/opt/homebrew等全局路径，其他用户完全无感知。
禁用访客账户的安装能力
访客账户虽默认无持久化存储，但若启用“允许访客访问共享文件夹”，用户可能通过挂载网络驱动器或外接磁盘运行安装程序。
进入“系统设置”→“用户与群组”→ 找到“访客用户”条目 → 确保“允许访客用户登录到这台Mac”处于关闭状态。
如确需临时使用，务必同时关闭“连接到共享文件夹时允许访客访问”，避免访客借道SMB/NFS协议加载远程安装包。
