核心是分两层检查：文件内容是否未被篡改（哈希校验）和签名是否真实有效、已通过苹果公证（代码签名验证）。两者缺一不可——哈希对得上只说明文件没损坏，不能证明来源可信；签名有效则说明来源可信，但若文件被修改，签名即失效。
在 macOS 上安装前验证下载镜像文件的完整性，核心是分两层检查：**文件内容是否未被篡改（哈希校验）** 和 **签名是否真实有效、已通过苹果公证（代码签名验证）**。两者缺一不可——哈希对得上只能说明文件没损坏，但不能证明它来自苹果；签名有效则说明来源可信，但若文件被二次修改，签名也会失效。
一、验证 .pkg 或 .dmg 文件的哈希值（确认下载无误）
苹果官方虽不直接公布所有安装包的 SHA256 值，但可通过可信渠道（如开发者门户页面、gibMacOS 工具日志、或社区核对过的权威发布页）获取参考哈希。验证方法如下：
- 打开终端，进入镜像所在目录，例如：
cd ~/Downloads - 对 .pkg 文件运行：
shasum -a 256 "Install macOS Sonoma.pkg" - 对 .dmg 文件运行：
shasum -a 256 "macOS Sonoma.dmg" - 将输出的 64 位十六进制字符串，与你获得的官方哈希值逐字符比对（区分大小写、不可省略空格）
二、验证代码签名与公证状态（确认来源可信）
这是 macOS 特有的安全机制，仅靠哈希无法替代。需用系统自带命令组合判断四要素：签名存在性、有效性、公证状态、证书链可信度。
macOS UI 自动化技能包 —— 用 Python 控制你的 Mac
下载
让 macOS 自动化像说话一样简单 —— 用代码控制你的 Mac，无需学习 AppleScript 系统要求 macOS 14+ (Sonoma) Python 3.9+ 需要开启：辅助功能 + 屏幕录制权限
- 检查签名基本信息：
codesign -dv --verbose=4 "/path/to/Install macOS Sonoma.pkg"
重点看三项：Authority（应为 Apple Distribution 或 Developer ID Installer）、TeamIdentifier（非空，如 EQHXZ8M8AV）、valid on disk（必须为 yes） - 确认是否通过苹果公证：
— 查公证票据：xattr -pl com.apple.quarantine "/path/to/Install macOS Sonoma.pkg"（含 ticket=1 才算有缓存票据）
— 运行 Gatekeeper 审查：spctl --assess --type install --verbose=4 "/path/to/Install macOS Sonoma.pkg"（输出 accepted 才代表签名+公证均通过） - 验证证书链是否仍在有效期内：
security find-certificate -p /System/Library/Keychains/SystemRootCertificates.keychain | openssl x509 -noout -text 2>/dev/null | grep -A1 "Not Valid"
确认当前时间（2026年7月29日）落在证书的 Not Valid Before 与 Not Valid After 范围内
三、验证 .dmg 镜像挂载后的内部结构（辅助排查）
部分 .dmg 是封装了 Install macOS.app 的容器，挂载后可进一步验证其内嵌应用：
- 双击挂载 .dmg，找到其中的 Install macOS XXX.app
- 在终端中对其运行：
codesign -dv --verbose=4 "/Volumes/Install macOS/Install macOS XXX.app" - 同样关注 Authority、TeamIdentifier 和 valid on disk；若显示 adhoc 或 unidentified developer，说明该 app 本身未签名或签名异常
- 也可用
hdiutil verify "/path/to/image.dmg"检查磁盘映像结构完整性（适用于原生 DMG，非封装型）
不复杂但容易忽略：哈希校验和签名验证必须一起做。只信哈希，可能装上被恶意替换却哈希一致的镜像；只信签名，可能因系统时间偏差或证书过期导致误判。两步都通过，才能放心开始安装。
