macOS Gatekeeper 是可编程安全评估系统，spctl 为其控制中枢；通过 spctl --status 查看启用状态，用 spctl --add/--remove 精细管理单个应用信任，xattr 处理 quarantine 标记，spctl --reset-default 可恢复默认策略。
macos 的 gatekeeper 不是开关，而是一套可编程的安全评估系统，spctl 就是它的控制中枢。它不靠“点开仍要打开”来妥协安全，而是让你用命令精准决定：哪个应用、在什么条件下、被谁信任。
查看与确认当前状态
所有操作前先确认 Gatekeeper 是否真正生效：
- 运行
spctl --status—— 返回assessments enabled表示已启用；disabled表示已被全局关闭 - 返回结果直接反映内核级策略状态，比系统设置界面更真实（有时界面显示“已启用”，但底层可能被禁用）
- 若需快速验证，可下载一个未签名的 .app 文件双击测试：弹出“无法验证开发者”即说明 Gatekeeper 正常工作
精细控制单个应用的信任关系
无需降低全系统安全等级，就能让特定工具顺利运行：
WeChat macOS Proxy
下载
macOS 微信消息自动化工具。通过 GUI 自动化实现：发送消息给指定联系人、读取聊天内容、监控新消息。适用于需要自动化微信操作的场景，如定时发送、批量回复、消息备份等。依赖 peekaboo 进行屏幕截图和 UI 交互。仅支持 macOS。开源地址：https://github.com/chairmanmia...
- 添加信任：
sudo spctl --add /Applications/MyTool.app（路径必须准确，含 .app 后缀） - 验证是否生效：
spctl --assess -v /Applications/MyTool.app—— 输出含accepted即表示通过评估 - 移除信任：
sudo spctl --remove /Applications/MyTool.app - 支持标签管理：
sudo spctl --add --label "DevTools" /path/to/app，后续可用--disable --label "DevTools"批量暂停整组规则
处理隔离属性（quarantine）这个隐形拦截器
很多“已签名+已公证”的应用仍打不开，往往不是 Gatekeeper 拦截，而是被系统标记为“网络下载来源”：
- 检查是否存在隔离标记：
xattr -l /Applications/AppName.app，若输出含com.apple.quarantine，就是它在作祟 - 清除单个应用标记：
xattr -d com.apple.quarantine /Applications/AppName.app - 递归清除整个安装包：
xattr -r -d com.apple.quarantine /path/to/Installer.pkg - 注意：此操作不绕过 Gatekeeper，只是移除下载来源标识；Gatekeeper 仍会检查签名和公证状态
重置或恢复默认策略
当自定义规则过多、行为异常，或准备交付给他人使用时，可一键还原基础安全模型：
- 清除所有用户添加的规则：
sudo spctl --reset-default（保留系统默认的“App Store + 已识别开发者”策略） - 重新启用 Gatekeeper 主控：
sudo spctl --master-enable（若之前被禁用） - 执行后建议运行
spctl --list查看当前生效规则，确认无残留自定义项
