macOS应用安全检查是Gatekeeper、签名验证、公证、沙盒和系统策略构成的动态防护链；需通过spctl启用校验、精准添加规则、谨慎清除quarantine属性、验证codesign与spctl结果，并限制非沙盒应用权限。
macos 应用执行安全检查不是“开关式”配置，而是由 gatekeeper、签名验证、公证状态、沙盒机制和系统级策略共同构成的动态防护链。修改检查行为，本质是调整这些环节的触发条件或响应方式，而非关闭安全——真正安全的做法是精准控制校验强度与豁免范围。
明确 Gatekeeper 的执行级别
Gatekeeper 是应用首次运行时的第一道防线，它根据来源决定是否弹出警告。它的策略直接影响“执行前是否检查”：
- 终端命令
sudo spctl --master-enable确保底层校验引擎开启（必须先执行） - 然后用
spctl --status确认返回assessments enabled - 图形界面中设为“App Store 与已识别的开发者”，等价于终端命令
sudo spctl --enable --label "Developer ID" - 若需临时允许某类未公证应用（如内部测试工具），可添加自定义规则：
sudo spctl --add --label "Internal Dev" /path/to/app.app
再用sudo spctl --enable --label "Internal Dev"启用该规则
控制应用是否跳过隔离检查
从网页下载的应用默认带 com.apple.quarantine 属性，触发 Gatekeeper 弹窗。这不是漏洞，而是设计行为：
- 清除隔离属性：
xattr -d com.apple.quarantine /Applications/YourApp.app - 仅对可信路径下的应用执行此操作（如
/Applications/InternalTools/） - 不建议全局清除（如
xattr -rd com.apple.quarantine ~/Downloads），会削弱防护
验证并干预签名与公证的实际执行
系统在启动应用时自动调用 codesign 和 spctl 校验，但你可以主动介入判断逻辑是否生效：
- 检查签名有效性：
codesign -dv --verbose=4 /Applications/YourApp.app
关注Authority是否含Apple Distribution或Developer ID Application，且TeamIdentifier非空 - 验证公证结果：
spctl --assess --type execute --verbose=4 /Applications/YourApp.app
返回accepted才代表 Apple 公证服务已确认该二进制未被篡改 - 若返回
rejected，说明证书吊销、哈希不匹配或公证票证过期，此时不应手动绕过，而应联系开发者更新
限制非沙盒应用的运行权限
未启用 App Sandbox 的应用拥有更广文件系统访问权，可通过运行时约束降低风险：
- 使用 Automator 创建“受限运行工作流”：新建文档 → 选择“应用程序” → 添加“运行 Shell 脚本”动作，用
sandbox-exec -f /usr/share/sandbox/quicklook.sb /path/to/app启动（需提前配置 sandbox profile） - 或改用
launchctl以降权用户身份启动：sudo -u _www open /Applications/YourApp.app（适用于 Web 相关工具） - 对监听端口或访问钥匙串的行为，可在“系统设置 → 隐私与安全性”中关闭对应权限，系统会强制其失败而非静默放行
不复杂但容易忽略
macOS UI 自动化技能包 —— 用 Python 控制你的 Mac
下载
让 macOS 自动化像说话一样简单 —— 用代码控制你的 Mac，无需学习 AppleScript 系统要求 macOS 14+ (Sonoma) Python 3.9+ 需要开启：辅助功能 + 屏幕录制权限
