Mac 安全：一次设置，长期受益的 6 件事

---

title: "Mac 安全设置完整指南：XProtect/Gatekeeper/TCC 原理、应用来源、隐私权限、锁屏与查找我的 Mac、丢机应急流程" slug: mac-security-setup date: 2026-02-08 updated: 2026-10-31 tags: [Mac, 安全, 隐私, Gatekeeper, FileVault, 教程] summary: "写透 Mac 安全体系的每个环节：三层安全机制各自的作用和局限、应用来源设置的真实风险对比、每个隐私权限的含义和合理授权方式、锁屏与查找我的 Mac 的完整配置、以及笔记本丢失后的完整挂失定位抹除流程。"

很多人觉得"Mac 不需要杀毒软件"就把安全设置全跳过，这是危险的。Mac 的安全架构很强，但只是给了一堵墙，门怎么开、窗怎么关还是用户自己决定。这篇文章把「系统设置 → 隐私与安全性」整页写透。

理解这三层，后面所有设置都不再是猜的：

第一层 XProtect：macOS 自带的恶意软件特征库，苹果定期推送更新。它像一个门卫，认识所有上了通缉令的坏人（已知恶意软件），但它只能识别已知样本，对新变种无能为力。所以你不需要安装第三方"杀毒"，但也不要因此放松警惕。

第二层 Gatekeeper：App 的"身份证检查"。打开一个从未见过的 .app 时，系统检查它有没有苹果颁发的开发者签名、有没有被篡改、是否来自 Mac App Store。没有身份证的访客会被拦下，你看到的"无法打开"弹窗就是这一层在工作。

第三层 TCC（Transparency, Consent, and Control）：隐私权限管理。每个 App 想访问你的摄像头、麦克风、文件、通讯录、位置，必须显式获得你授权。这层是用户主动控制的，也是你日常最需要管理的。

应用来源设置：App Store / 已认证开发者 / 任何来源

系统设置 → 隐私与安全性 → 安全性 → "允许从以下位置下载的应用"：

• 仅限 App Store：最安全，但限制太大。大部分效率工具（Obsidian、VS Code、IINA）都不在 App Store，这个选项只适合完全只用苹果生态的用户。
• App Store 和已认证开发者：推荐设置。"已认证开发者"是苹果颁发的数字签名，证明应用来自真实开发者且未被篡改。绝大多数正规软件都有这个认证。
• 任何来源：默认隐藏，需要用终端命令开启：sudo spctl --master-disable。强烈不建议，开启了等于关闭 Gatekeeper，任何未签名软件都能直接运行。新手看到网上教程让输这行命令多半是陷阱。

你也不需要装所谓的"拦截工具"，Gatekeeper + 你的判断力已经足够。

Gatekeeper 的完整工作流程

下载一个 App 后，系统做的检查顺序：

1. 检查开发者签名：有 Apple 颁发的数字证书吗？有就标记"已认证开发者"。
2. 检查公证（Notarization）：开发者是否把这个 App 提交给苹果扫描过？高版本 macOS 对未公证的 App 警告更严格。
3. 首次启动时检查：双击 .app 时 Gatekeeper 快速验证签名和公证信息，通过就直接打开；不通过就跳到下面的"无法打开"流程。

"无法打开 xxx"的真实原因和对策：

什么时候可以绕过：你从开发者官网（不是第三方下载站）下载、软件有开源社区或大量用户评价、用途非常重要（如开源的密码管理器 Bitwarden）。什么时候绝对不能绕过：从种子站、网盘、微信群下载的"破解版"软件，提示损坏/无法打开就是系统在救你。

隐私权限的完整管理：每一项怎么合理授权

系统设置 → 隐私与安全性，逐项解释：

• 定位服务：天气、地图、外卖类应用才需要。设置技巧：把不常用的 App 定位权限改为"使用 App 时"而不是"始终"。
• 通讯录：IM 工具需要发送消息时授权；任何工具类 App（压缩、录屏、美化）都不应该需要阅读通讯录，如果一个视频播放器要通讯录权限，必须警觉。
• 照片：分两类——"完全访问"和"选中的照片"。建议只对需要整理你全部照片的应用（如 Photos、Google Photos）给完全访问，其他人给"部分访问"。
• 麦克风：视频会议、录音工具、语音输入需要。其他坚决不给。
• 摄像头：视频会议、扫码工具需要。授权后绿色指示灯会亮，看到灯亮时你没在开摄像头就要检查。
• 辅助功能：窗口管理工具（Rectangle）、自动化工具需要。每个申请这个权限的应用都是"可以控制你电脑"级别的，授权前想清楚。
• 完全磁盘访问：备份工具、清理工具需要。这是最高权限，给错应用等于把家门钥匙给了陌生人。

授权时的判断方法：这个权限是这个应用核心功能必须的吗？Dropbox 要"完全磁盘访问"是因为要同步文件——合理。美图秀秀要"通讯录"？不合理。

锁屏密码的完整设置逻辑

• 密码强度：不要用 123456 或生日。推荐"一句话密码"如"Mac 陪我写代码 2026!"，15 个字符以上且对你有特殊意义。
• Touch ID：系统设置 → 触控 ID 与密码 → 添加指纹。建议添加两个手指（左右手食指），其中一只手指受伤时还有备用。
• 自动锁定：系统设置 → 锁定屏幕 → "在以下情况下需要密码"设为"立即"，"不活跃时开始屏幕保护程序"设为 5 分钟。
• Apple Watch 解锁：如果你有 Apple Watch，系统设置 → 触控 ID 与密码 → 用 Apple Watch 解锁。不用输入密码，戴着表靠近就解锁，体验最好。

查找我的 Mac 的完整配置和使用流程

配置路径：系统设置 → Apple 账户 → iCloud → 查找我的 Mac → 打开。同时开启"查找网络"（能在 Mac 离线时通过附近苹果设备蓝牙信号定位）和"离线查找"。

平时的作用：

• 在另一台苹果设备上打开"查找"App：地图上会显示所有你登录过的设备位置，Mac 图标是笔记本形状。
• 网页版查找：icloud.com → 登录 → 查找，可以查位置、播放声音（找人时）、标记为丢失（锁定屏幕并显示联系电话）、抹掉 Mac。

日常使用建议：每周登录一次 icloud.com 看一眼"查找"，确认你的 Mac 还显示在列表里。如果哪天列表里没了，说明 iCloud 掉线或 Mac 被抹去激活锁，需要警惕。

防火墙的完整逻辑：macOS 防火墙 vs 路由器防火墙

很多人混淆这两个概念：

• 路由器防火墙：保护你家里所有设备，对来自互联网的未请自来连接说"不"。你家的路由器默认开启。
• macOS 防火墙：在应用层面拦截进入的连接，允许你单独指定某个 App 是否接受传入连接。

什么时候该开 macOS 防火墙：

• 经常在咖啡厅、机场、公共 Wi-Fi 下工作——强烈建议开，公共网络上其他电脑能直接访问你 Mac 上共享的服务（如 Samba 文件共享）。
• 家里单独自用，路由器防火墙很完善——可以不开，影响不大。

开启路径：系统设置 → 网络 → 防火墙 → 打开。macOS 版防火墙和 Windows 版不同，它不弹窗问"是否允许 xx 连接网络"，而是工作在入站连接方向，所以开启后基本没有感觉，该开的应用依然能正常访问网络。

真实场景：笔记本丢了之后该怎么办（60 分钟应急流程）

假设你回家发现 MacBook 不见了，不管是被拿走还是遗落，按这个顺序操作：

第 1-5 分钟：确认 打开 iPhone 的"查找"App 或 icloud.com，看 Mac 的位置。位置显示在某地但没移动，可能是借给朋友了；位置移动或显示"离线"，进入下一步。

第 6-15 分钟：挂失 在"查找"App 里点击 Mac → 标记为丢失 → 打开设备锁定 → 输入联系电话作为回拨信息（不要写敏感内容）。标记丢失会自动锁定设备并停掉 Apple Pay，这是最重要的一步。

第 16-30 分钟：搜集证据 截图当前定位界面、记下最后一次在线时间、检查"查找"里有没有新设备接入。这些信息对报案和苹果客服非常重要。

第 31-45 分钟：报警与备案 拨打 110 报案，提供 Mac 的序列号（"查找"App 里能看到）和最后一次定位信息。同时向 Apple 支持提供丢失信息，可以暂停 AppleCare+ 的部分服务。

第 46-60 分钟：确认数据是否抹除 如果 FileVault 已开启（强烈建议），数据是安全的，小偷看到的只是加密硬盘。是否输入"远程抹除 Mac"取决于你是否还有找回的可能——抹除后无法再定位，只建议在确定找不回时执行。

后续处理：事后马上更改所有重要账号密码（银行、邮箱、Apple ID），即使 FileVault 加密了，泄露密码的风险也要防范。

结尾

Mac 的安全不是靠一个"开关"达成的，而是三道门 + 你自己的判断。理解了 XProtect 防已知病毒、Gatekeeper 验证 App 身份、TCC 管理隐私权限，你就知道每个弹窗的警告是在保护什么。

养成三个小习惯：新软件安装后去"隐私与安全性"检查它的权限；开机 30 秒看一下"查找我的 Mac"是否在；重要文件用 FileVault 加密（新机建议开启）。这三件事做完，你的 Mac 就已经在安全防护的前 5% 里了。