访客用户仅能使用Safari上网：需启用访客账户、用屏幕使用时间将除Safari外所有App限额设为1分钟，并禁用AirDrop、共享、访达访问权及逃逸快捷键。
Mac访客用户默认能打开Safari上网，但若要严格限制其仅能浏览网页、无法启动其他应用或访问系统功能，需组合启用访客账户、禁用全部非必要App、锁定系统界面，并关闭所有可绕过限制的入口。
启用并确认访客账户基础功能
点击屏幕左上角苹果菜单（）→“系统设置”→左侧边栏滚动到底部，点“用户与群组”。
点击右下角锁形图标，输入管理员密码解锁设置。
勾选【允许访客用户登录到这台Mac】——【未勾选则后续所有限制均无效】。
确认下方提示显示“访客用户的文件将在其退出后自动删除”，说明隔离环境已就绪。
用屏幕使用时间彻底封锁应用访问
这一步是实现“只能看网页”的核心：不是靠隐藏图标，而是从系统级禁止启动权限。
前往“系统设置”→“屏幕使用时间”→确保已开启（若未开，先点“打开屏幕使用时间”并设好密码）。
点“App 限额”→点击右下角“+”号→选择“自定限额”。
在应用列表中，取消勾选 Safari，其余所有应用（包括“访达”“终端”“邮件”“信息”“访达”“预览”“日历”等）全部勾选 → 设置每日限额为“1分钟”。
点击“添加”，该规则立即对访客用户生效——【访客登录后，除Safari外，点任何App都会弹出“已超出使用时间”提示】。
关闭所有可能绕过限制的通道
方法一：禁用访客的AirDrop与共享发现
仍在“用户与群组”设置页→点击“登录选项”→确认“AirDrop”“屏幕共享”“远程登录”“文件共享”全部对访客不可用；
特别注意：取消勾选“连接到共享文件夹时允许访客访问”，否则访客可通过访达地址栏输入 smb:// 强行调出网络位置窗口，进而打开非Safari应用。
方法二：移除访客对访达的完整访问权
打开访达→前往“文稿”“下载”“桌面”等敏感文件夹→右键“显示简介”→展开“共享与权限”→点锁图标解锁→点“+”→添加“客人”→设为“无访问权限”→点齿轮图标→“应用到包含的项目”。
这能防止访客通过访达拖拽文件触发预览、文本编辑器等后台进程。
方法三：屏蔽命令行与快捷键逃逸路径
打开“系统设置”→“键盘”→“键盘快捷键”→左侧选“快捷键”→右侧取消勾选“访客用户”能使用的全部快捷键，尤其是“聚焦搜索”“启动台”“访达”；
再进入“屏幕使用时间”→“内容与隐私”→“App与功能限制”→开启“阻止更改Dock”和“阻止更改菜单栏”——【否则访客长按Dock图标可强制“在访达中显示”，从而绕过App限额】。
验证并交付使用
退出当前账户：苹果菜单→“退出登录”→确认退出。
在登录界面直接点击“访客用户”头像登录，不输密码。
登录后立刻测试：点Dock中Safari可正常打开；点其他图标均被拦截；尝试 Command + Space 调出聚焦搜索，无响应；在访达地址栏输入任何路径均被拒绝。
此时访客唯一可用的图形界面程序只有 Safari，且无法保存下载、无法打开本地文件、无法调用系统服务。
