你没在用 Mac，Mac 却在用流量

这是最常见的来源，没有之一，而且最容易确认或排除。

1. 是不是 iCloud 在核对？你在手机上改了条备忘录、往 iCloud 云盘丢了个文件、或者照片图库还没追平，都会让一台没人碰的 Mac 产生流量。主要由两个进程承担：cloudd 负责 App 数据，bird 负责 iCloud 云盘文件。如果你最近刚打开「桌面与文稿」同步，一次很大的单次上传是意料之中的。
2. 是不是后台在下东西？系统更新和按需资源都排在 nsurlsessiond 里，它是替别的软件执行传输的。那里数字大，是快递员的名字被写在了别人的包裹上。
3. Mac 是不是在睡眠中醒来？「小憩」允许睡眠中的 Mac 收邮件、同步、下载。如果流量是在合盖过夜期间涨的，先查这个设置。
4. 还是说不清？把它归到某个进程，然后去查这个进程。进程百科逐个说明每个后台守护进程是什么、正常该用多少、能不能关。

总量不对和当场逮到一笔传输是两个不同的问题：你需要的是历史，而不是实时读数。

1. 找出这段时间里最重的 App，而不是此刻最活跃的那个——当下在占带宽的，往往不是把这个月吃掉的那个。哪个 App 在占带宽先讲系统自带工具，以及它们到哪儿为止就不够用了。
2. 把上传和下载分开看。上传量大和下载量大是两回事，前者的常见解释是备份或同步客户端。见哪个 App 在上传数据。
3. 然后设一个上限，让下个月不会再来一次惊吓：设置流量上限，并在你选的阈值上告警。

「慢」是带宽争抢问题。总量可能完全正常，只是某个进程把链路占满了。

1. 要找的是实时速率大户，不是月度总量。Mac 网速突然变慢讲了怎么找。
2. 限速而不是退出。一个原本一小时、现在四小时完成的同步，依然在正常干活。给 App 限速能让它活着但不碍事。
3. 如果是系统后台传输，逻辑一样——看 nsurlsessiond，它通常就是那个承运方。

这时候目标不是诊断而是预防：同样的后台活动，在家用宽带上无伤大雅，在手机套餐上就是真金白银。

1. 给热点单独一份配额，和家里的网络分开算：按 Wi-Fi 网络分别统计流量。
2. 提前决定连上它时允许什么跑——监控热点流量讲了具体怎么配。
3. 搞清楚哪些服务可以安全暂停。进程百科按「能关 / 该限速 / 别动」把后台守护进程分了组。

几乎总是一个名字起得很不友好的正经 macOS 守护进程。苹果把系统工作拆给了很多小服务，所以一个你从没想过的功能背后，可能是四个各自独立的进程，名字长得像 bird、apsd、parsecd 这样。

1. 去查一下进程百科——它是什么、为什么要联网、正常大概用多少、能不能安全关掉。
2. 看字节数，别看连接数。Mac 上几个看起来最忙的进程，其实几乎不搬数据。mDNSResponder 和 trustd 是两个典型。
3. 不放心就核对路径。确实有恶意软件会冒用知名系统进程的名字，所以去活动监视器里看可执行文件的位置，别只信名字。