如何在图书馆或公共 Mac 上锁定 Dock

简短回答：就是那四个能锁定任何 Mac Dock 的 defaults 键，外加一个在这里比在其他任何地方都更重要的设置：关闭最近使用的 App，因为在一台公共设备上，那个区域会把上一个使用者在做什么展示出来。

如果 Mac 在重启时会还原到某个镜像，请在镜像被捕获之前设置好锁定，否则还原操作会在每晚把它们撤销。

公共 Mac 的失效方式不同

教室 Mac 面对的是三十个可以被告知不要做某事的人。图书馆或公共 Mac 完全没有这个条件，这就改变了你真正要防范的对象。

没有人会报告它。学生只会说 Dock 看起来不对劲。发现 Dock 只有一半大小的公众会以为这台电脑本来就是这样，照样使用，然后离开。漂移会在无人察觉的情况下持续数月累积。
Dock 就是全部界面。从没用过 Mac 的人，没有使用启动台的习惯，没有使用聚焦搜索的习惯，也不知道菜单栏是做什么用的。如果他们需要的 App 被拖出了 Dock，那它就等于不存在。
会话都很短暂且匿名。没有人在意到会去把它放回原处，也没有人能被识别出来去问。
几乎从来都不是恶意造成的。可能是手随意搭在分隔线上、图标被多拖了两个像素、触控板上一次误触的双指缩放。

公共 Mac 唯一更轻松的地方

公共设备通常使用一个永久登录、从不退出的单一账户。这使得普通的 defaults 方式在这里比在按学生分别登录的教室里更耐用，因为这些设置只需要存在于一个账户里。

defaults write com.apple.dock size-immutable -bool true
defaults write com.apple.dock position-immutable -bool true
defaults write com.apple.dock contents-immutable -bool true
defaults write com.apple.dock autohide-immutable -bool true
killall Dock

每一项都会让“系统设置”里对应的控件变灰，因此完全无法从界面中改动。它们能在重启、睡眠和 macOS 更新后依然生效。包含每个键类型的完整列表见每一条 Mac Dock defaults 命令。

最近使用的 App 区域，在这里是个隐私问题

macOS 会在 Dock 右侧添加一个最近使用的应用区域。在你自己的 Mac 上，这是个方便功能。而在公共 Mac 上，这就是上一个人打开过什么的一份清单，展示给下一个坐下来的人看。

defaults write com.apple.dock show-recents -bool false
killall Dock

上面这四项锁定不会移除它，因为这是一项独立的设置。请特意把它关闭。更多内容见如何阻止最近使用的 App 出现在 Dock 中。

还原镜像的陷阱

许多公共 Mac 会被设置为恢复到已知状态，无论是通过镜像软件，还是在重启时还原磁盘快照。对这样一台设备来说，这是正确的运行方式，但它有一个大家往往要吃过亏才会明白的后果：

在基线被捕获之后所做的任何配置，都会在这台设备下次还原时被撤销。你的 Dock 锁定就是一种配置。先设置好、确认无误，然后再捕获镜像。如果这台 Mac 已经在使用中，改动应该放进基线里，而不是运行中的会话里，否则你每天早上都要重新设置一遍，还搞不清楚原因。

最近使用的应用设置和 Dock 的实际内容也是同样的道理。先把 Dock 排列成大众应该看到的样子，再进行捕获。

谁能撤销什么

值得说清楚，因为这三种机制并不能互相替代。

一条 defaults 命令会被另一条 defaults 命令撤销。任何能打开终端的人都可以在一分钟内解除全部四项。
手动安装的描述文件能在终端命令、重启，以及创建它的那个东西被删除之后依然生效。它适用于安装它的那个登录账户，仍然可以在“系统设置”、“通用”、“设备管理”中被主动移除。这是有意为之的：不应该有人被困在一个自己无法解锁的 Dock 里。
由 MDM 推送的描述文件是唯一能做到真正无法移除、并覆盖设备上每个账户的版本。如果图书馆已经在集中管理这些 Mac，这就是它该归属的地方。

对于公众可以使用、且无法接触终端的公共设备，普通的锁定通常就够了。对于能接触到终端的设备，就不够了。

适合公共 Mac 的合理设置

把 Dock 排列成大众应该看到的样子，移除他们不需要的一切。
关闭最近使用的 App，让这个区域不再显示上一个使用者的工作内容。
应用全部四项锁定。
如果能接触到终端，就应该用描述文件而不是命令来部署锁定。
现在就捕获还原镜像，而不是之前。
把你设置的内容和位置都记下来。没有记录的锁定，对接手这台机器的人来说就是一个谜。

常见问题

这能阻止有人打开不该打开的 App 吗？

不会。它只会阻止 Dock 发生变化。限制哪些 App 可以运行是另一回事，那应该由屏幕使用时间或你的管理工具来处理。两者可以一起使用，解决的是不同的问题。

这台 Mac 反正每次重启都会自我清空，我还需要这个吗？

只有在重启足够频繁时才有用。每晚还原的设备仍然会有整整一天在漂移，而漂移在下午最严重，因为那时使用过它的人最多。

这些锁定能在 macOS 更新后依然生效吗？

会的。它们保存在账户的偏好设置里，而不是系统里，所以更新不会影响它们。而还原镜像则会用基线中的内容将它们替换掉。

如果有单独的访客账户怎么办？

偏好设置是按账户存储的，所以在一个登录账户里设置的内容不会出现在另一个账户里。请在公众实际使用的那个账户中设置锁定。如果那个账户会在会话结束后被 macOS 清空，这些设置也会随之消失，这种情况下正确的答案是来自管理工具的设备范围描述文件，而不是命令。

这和教室或前台的 Mac 有什么不同？

命令是一样的，情况却不同：教室里有账户、有人监管、有能反映问题的对象，而前台有一块顾客能看到的第二块屏幕。参见在教室 Mac 上锁定 Dock、在前台或展厅 Mac 上锁定 Dock、在家用 Mac 上锁定 Dock，或适用于一般情况的共享 Mac 指南。