Mac开启访客用户需分四步：一、系统设置→用户与群组→解锁后勾选“允许访客用户登录”；二、在“登录选项”中关闭AirDrop、屏幕共享等高危服务；三、通过文件夹“显示简介→共享与权限”为客人设“无访问权限”并应用到全部子项；四、终端执行命令禁用访客home目录自动创建。
当你把Mac借给朋友、同事或临时使用者时，必须防止访客打开终端执行命令、访问你的文稿或下载文件夹、修改系统设置，甚至通过AirDrop向外传输数据——这些风险都可通过分层权限控制逐一堵死。
关闭访客对高危系统服务的访问
访客账户默认能启用AirDrop、屏幕共享和远程登录，一旦放行，对方就能绕过桌面隔离直接连入你的局域网设备或调取系统信息。
第一步：进入“系统设置→用户与群组”，点击右下角锁图标→输入管理员密码解锁。
第二步：点击左侧边栏底部的“登录选项”→逐项检查AirDrop、屏幕共享、远程登录、文件共享开关，确保全部处于关闭状态。
第三步：前往“系统设置→通用→共享”，对每项服务（尤其是“文件共享”）点击右侧“选项”→取消勾选所有带“访客”字样的权限项。【若某项未关闭，访客仍可能通过网络协议穿透隔离】
用家长控制锁定可用App与网站
访客账户默认可自由打开访达、终端、钥匙串访问等工具，仅靠系统级隔离远远不够，必须用家长控制做应用白名单封控。
方法一：在“用户与群组”中点击“访客用户”下方的“内容与隐私访问限制”按钮→切换到“App”标签页→取消勾选“终端”“系统设置”“访达”“钥匙串访问”“邮件”“信息”。
方法二：切换到“网页”标签页→选择“仅允许访问以下网站”→点击“+”号手动添加 https://www.google.com 和 https://www.baidu.com →确认后访客将无法打开任何其他网址。
注意：不要选“限制成人网站”，它依赖系统内置黑名单，漏判率高且无法阻止正常但敏感的页面访问。
封锁文件系统级访问路径
即使访客不能打开访达，也可能通过Safari下载文件后误点“在访达中显示”，进而看到你桌面或文稿目录的缩略图——必须从文件权限源头切断。
打开访达，导航至“文稿”“下载”“桌面”任一敏感文件夹。
右键该文件夹→选择“显示简介”→滚动到底部展开“共享与权限”→点击右下角锁图标并输入管理员密码解锁。
点击“+”号→在弹出列表中选择“客人”→为其分配“无访问权限”→点击齿轮图标→选择“应用到包含的项目”。【这一步必须执行，否则访客仍可能通过快捷方式或Safari缓存访问部分文件】
禁用访客用户的home目录自动创建
macOS会在后台为访客预生成临时家目录，尤其在曾开启过文件共享时，该机制可能残留并被绕过使用。
打开“终端”（可在“启动台→其他”中找到）。
输入以下命令并回车：
sudo defaults write /Library/Preferences/com.apple.loginwindow GuestEnabled -bool false
系统提示输入密码时，【输入过程无屏幕反馈，切勿因看不到字符就重复按回车】，输完直接按回车即可。
