Go加载SQLite3扩展遇‘加固程序不允许相对路径’错误的解决方法

问题场景 #

我用Go的github.com/mattn/go-sqlite3包加载SQLite3的regex_match扩展，注册代码如下：

sql.Register("sqlite3_with_extensions",
&sqlite3.SQLiteDriver{
    Extensions: []string{
        "regex_match",
    },
})

运行时触发错误：

dlopen(regex_match.dylib, 0x000A): tried: 'regex_match.dylib' (relative path not allowed in hardened program), '/usr/lib/regex_match.dylib' (no such file)

已做的尝试：

• 对dylib和二进制文件用同一证书签名、公证
• 为dylib设置环境变量
• 测试签名/未签名二进制文件
• 授予两者全盘访问权限

符合安全要求的解决方案 #

1. 将扩展放入App Bundle内部（适用于GUI App） #

如果程序是打包成macOS App Bundle的形式，把regex_match.dylib放到App Bundle的Contents/Frameworks目录下，注册扩展时使用相对于Bundle的绝对路径。

用Go代码动态获取Bundle路径：

import "path/filepath"
import "os"

func getExtensionPath() string {
    // 获取当前二进制文件路径
    exePath, _ := os.Executable()
    // 定位到App Bundle的Frameworks目录
    bundleFrameworks := filepath.Join(filepath.Dir(filepath.Dir(filepath.Dir(exePath))), "Frameworks")
    return filepath.Join(bundleFrameworks, "regex_match.dylib")
}

// 注册时使用完整路径
sql.Register("sqlite3_with_extensions",
&sqlite3.SQLiteDriver{
    Extensions: []string{
        getExtensionPath(),
    },
})

签名时要包含Frameworks目录下的dylib，使用codesign命令：

codesign --deep --force --sign "你的开发者证书ID" /path/to/YourApp.app

2. 固定路径加载+权限配置（适用于命令行程序） #

把regex_match.dylib放到/usr/local/lib目录（需确保目录存在且有权限写入），注册时直接使用完整绝对路径：

sql.Register("sqlite3_with_extensions",
&sqlite3.SQLiteDriver{
    Extensions: []string{
        "/usr/local/lib/regex_match.dylib",
    },
})

给二进制文件添加权限配置，创建entitlements.plist文件：

<?xml version="1.0" encoding="UTF-8"?>
<!DOCTYPE plist PUBLIC "-//Apple//DTD PLIST 1.0//EN" "http://www.apple.com/DTDs/PropertyList-1.0.dtd">
<plist version="1.0">
<dict>
    <key>com.apple.security.cs.disable-library-validation</key>
    <true/>
</dict>
</plist>

用该配置重新签名二进制：

codesign --force --sign "你的开发者证书ID" --options runtime --entitlements entitlements.plist /path/to/your-binary

3. 静态编译扩展到二进制中 #

彻底避免动态加载的权限问题，把regex_match扩展源码静态编译进go-sqlite3包：

1. 将regex_match的源码文件放到$GOPATH/src/github.com/mattn/go-sqlite3目录下
2. 修改go-sqlite3的sqlite3-binding.c文件，添加扩展引用：

#include "regex_match.c" // 替换为你的扩展源码文件名

3. 编译Go程序时添加指定标签：

go build -tags sqlite3_load_extension

内容的提问来源于stack exchange，提问作者User0987