Es su forma alguna de controlar o limitar las aplicaciones de Mac a partir de la creación de archivos y directorios que no sean necesarios o sean de mala fe?

Es posible que desee buscar en macOS construido-en sandbox-exec. Puede ser utilizado para ejecutar cualquier comando en un "sandbox" en el que se puede denegar el acceso a la red, impidió escribir archivos en ciertos lugares y así sucesivamente.

En la parte inferior de esta respuesta hay una caja de arena perfil "firefox-sandbox" que fue presentado como un ejemplo en Mac OS X hints de ejecutar Firefox en un entorno donde su habilidad para escribir archivos (en su mayoría) se limita a su carpeta de Descargas. Yo debería tomar nota de la sugerencia de un par de años, el sandbox de perfil puede requerir algunos chanchullos para las últimas versiones de macOS y Firefox, yo no lo intente. La sugerencia se dice que Firefox se puede ejecutar en la caja de arena a través de:

sandbox-exec -f firefox-sandbox /Applications/Firefox.app/Contents/MacOS/firefox-bin

Algunos enlaces en los que puede que desee ver en que cubren sandbox-exec:

• Cómo ejecutar las Aplicaciones en un Mac OS X caja de arena para mejorar la seguridad
• OS X: Ejecutar cualquier comando en una caja de arena
• Apple Sandbox Guía

Aquí está el "firefox-sandbox" archivo:

(version 1) 
(deny default)

(allow file-write* file-read-data file-read-metadata
  (regex "^/Users/user_name/Downloads")
  (regex "^/Users/user_name/Library/Application Support/Mozilla")
  (regex "^/Users/user_name/Library/Application Support/Firefox")
  (regex "^/Users/user_name/Library/Preferences")
  (regex "^/Users/user_name/Library/PreferencePanes")
  (regex "^/Users/user_name/Library/Caches/Firefox")
  (regex "^/Users/user_name/Library/Caches/TemporaryItems")
  (regex "^/Applications/Firefox.app")
  (regex "^(/private)?/tmp/"))

(allow file-read-data file-read-metadata
  (regex "^/dev/autofs.*")
  (regex "^/Library/Preferences")
  (regex "^/Library/Internet Plug-Ins")
  (regex "^/Library/PreferencePanes")
  (regex "^/usr/share/icu")
  (regex "^/usr/share/locale")
  (regex "^/System/Library")
  (regex "^/Applications/Firefox.app")
  (regex "^/usr/lib")
  (regex "^/var")
  (regex #"Frameworks/SDL.framework")
; Our Module Directory Services cache
  (regex "^/private/var/tmp/mds/")
  (regex "^/private/var/tmp/mds/[0-9]+(/|$)")
  (regex "^/Users/user_name"))

(allow mach* sysctl-read)

(import "/usr/share/sandbox/bsd.sb")
(deny file-write-data
   (regex #"^(/private)?/etc/localtime$"
     #"^/usr/share/nls/"
     #"^/usr/share/zoneinfo/"))

(allow process-exec 
  (regex "^/Applications/Firefox.app"))

(allow network*)