核心用法
Little Snitch CLI 是 macOS 知名防火墙应用 Little Snitch 的命令行扩展，提供对网络监控规则的脚本化管理能力。主要功能模块包括：
流量监控与日志
log命令支持查看历史连接记录（--last 10m/--stream实时流），无需 root 权限即可审计应用网络活动log-traffic提供细粒度流量分析，支持按时间范围检索和 JSON 格式化输出
策略配置管理
profile命令切换预定义规则集（如静默模式/告警模式），适合不同场景快速切换安全策略rulegroup管理自定义规则组和黑名单，实现批量启用/禁用规则
系统级操作
- 配置导出/恢复（
export-model/restore-model）支持完整备份 - 首选项读写（
read-preference/write-preference）便于自动化部署 capture-traffic可针对特定进程抓包分析
显著优点
1. 无缝集成：与 Little Snitch 图形界面共享底层引擎，规则实时同步
2. 权限分层设计：日志查看免 root，配置修改需 sudo，符合安全最小权限原则
3. 输出结构化：原生支持 JSON 输出，便于对接日志分析系统
4. 策略即代码：配置文件可版本控制，实现基础设施即代码（IaC）实践
潜在局限
- 平台锁定：仅限 macOS，无跨平台方案
- 依赖商业软件：需购买 Little Snitch 许可证（约 €45），CLI 本身不独立存在
- 功能边界：无法替代完整防火墙配置（如 pfctl），专注应用层网络管控
- 学习成本：需理解 Little Snitch 特有的 Profiles/Rule Groups 概念体系
适合人群
- macOS 高级用户及系统管理员
- 需要自动化网络安全策略切换的开发者
- 进行应用网络行为审计的安全工程师
- 已部署 Little Snitch 的企业 IT 运维团队
常规风险
| 风险类型 | 说明 |
|---------|------|
| 配置漂移 | 命令行与 GUI 同时修改可能导致规则冲突 |
| 权限提升 | sudo 命令需防范脚本注入（尤其处理动态规则名时） |
| 服务中断 | 误操作 `profile --deactivate-all` 可能瞬间放开所有连接限制 |
| 隐私合规 | 流量日志可能包含敏感域名/IP，备份文件需加密存储 |