Xcode 中配置 macOS 沙盒需同步完成签名声明、功能启用和运行时合规调用三件事：必须启用 App Sandbox 并验证 entitlements 文件含 com.apple.security.app-sandbox = true，网络访问须按角色声明 client/server 权限，文件访问须通过安全作用域 API 动态授权，且禁止使用 temporary-exception 等调试权限提交审核。
在 xcode 中配置 macos 应用的沙盒权限与网络访问白名单，不是勾个开关就完事，而是要同步完成签名声明、功能启用和运行时合规调用三件事。核心在于 entitlements 文件必须与实际代码行为严格匹配，否则运行时会报 operation not permitted。
开启沙盒并确认基础声明
沙盒是强制性的系统安全机制，尤其对上架 Mac App Store 的应用——没启用直接被拒。必须确保：
- 在 Xcode Target → Signing & Capabilities 中打开 App Sandbox 开关，Xcode 会自动生成
com.apple.security.app-sandbox = true到 .entitlements 文件 - 检查生成的 .entitlements 文件，确认存在该键且值为
<true/>；手动编辑时不能拼错键名或漏掉布尔值 - 启动应用后，用 Activity Monitor 查看 Sandbox 列是否显示 Yes，这是验证沙盒真正生效的最直接方式
声明网络访问权限（Client/Server）
沙盒下所有网络行为都需显式声明，没有“默认允许”。联网不是开个开关就行，得按角色选对权限：
macOS Local Voice
下载
利用 macOS 原生能力实现本地语音识别与合成。通过 yap (Apple Speech.framework) 进行语音转文字，通过 say + ffmpeg 进行文字转语音。完全离线，无需 API 密钥。具备音质检测与智能选声功能。
-
出站连接（如请求 API、上传文件）：启用 Outgoing Connections (Client)，对应 entitlement 键
com.apple.security.network.client = true -
监听端口（如内建 HTTP 服务、局域网共享）：启用 Incoming Connections (Server)，对应
com.apple.security.network.server = true - 若只用 NSURLSession 或 URLSession 发起 HTTPS 请求，仅需 client 权限；若用 GCDAsyncSocket 或 bind() 监听本地端口，则 server 权限不可省略
配置文件访问与用户授权路径
网络白名单不存在于沙盒模型中——macOS 不提供域名级放行机制。所谓“白名单”，实际是通过用户交互获得临时或持久化访问权：
- 需要读写用户文件夹（如 Documents、Downloads）时，不能硬编码路径，必须用
NSOpenPanel或NSSavePanel弹出系统对话框，由用户手动选择 - 若需重启后仍可访问，调用
url.bookmarkData(options: .withSecurityScope)生成书签数据，并只能存入自身容器内（如Application Support目录） - 每次访问前必须配对调用
startAccessingSecurityScopedResource()和stopAccessingSecurityScopedResource()，漏掉任一环节都会失败
避免常见陷阱与审核风险
很多应用卡在审核阶段，问题不在功能，而在权限配置细节：
-
temporary-exception 类权限仅限调试，提交到 App Store 的 build 必须移除所有
com.apple.security.temporary-exception.*声明 - Info.plist 中涉及敏感权限（如摄像头、通讯录、辅助功能）必须提供对应 usage description，例如
NSCameraUsageDescription，否则首次调用直接静默失败 - 勾选了权限但代码里没用，或用了却没声明，都会导致审核被拒；Apple Review 会静态扫描 entitlements + 动态检测行为
